Gestaltung der sektoriellen Ausbreitung von AGOV
Einführung
Die sektorielle Ausbreitung von AGOV wird durch die jeweils anwendbaren Rechtsgrundlagen bestimmt. Es bestehen somit rechtlich definierte Ausbreitungsgrenzen. Diese müssen sinnvoll gezogen und im Zuge der digitalen Entwicklung überprüft und weiterentwickelt werden: weit genug, damit AGOV der digitalen Prosperität der Schweiz optimal dienen kann; eng genug, damit Staatsfernes grundsätzlich dem Markt überlassen bleibt.
Bei Login- und Authentifizierungssystemen ist diese Grenzziehung besonders anspruchsvoll. Der Nutzen einer gemeinsamen Lösung wächst mit ihrer Verbreitung. Je mehr Behörden und mit ihnen verbundene Institutionen dieselbe vertrauenswürdige Authentifizierung einsetzen, desto weniger parallele Konten, unterschiedliche Loginverfahren und technische Integrationen sind erforderlich. Zugleich darf eine staatliche Infrastruktur nicht ohne hinreichenden öffentlichen Zweck in staatsferne, privatwirtschaftliche Bereiche vordringen.
Die hier behandelten Ausbreitungsgrenzen gelten für die Systeme und Organisationen, die AGOV als Authentifizierungsleistung beziehen. Für die Endbenutzenden bestehen keine sektoriellen Einsatzgrenzen. AGOV steht Menschen weltweit zur Verfügung und kann privat oder beruflich, auch im Auftrag einer Organisation, eingesetzt werden.
Der rechtliche Kern
Den rechtlichen Grundstein legt das Bundesgesetz über den Einsatz elektronischer Mittel zur Erfüllung von Behördenaufgaben, kurz EMBAG. Es schafft die Voraussetzung dafür, dass Nicht-Bundesbehörden IKT-Mittel des Bundes mitbenutzen können, insbesondere im Zusammenhang mit dem Vollzug von Bundesrecht. Schweizer Behörden, die AGOV als Authentifizierungsleistung beziehen, bilden damit den Kern der sektoriellen Ausbreitung.
Eine erste Erweiterung dieses Kerns kann Institutionen erfassen, die ausserhalb der eigentlichen Verwaltung stehen, aber in rechtlich definierter Weise Behördenaufgaben erfüllen, beispielsweise indem sie Bundesrecht vollziehen. Entscheidend sind dabei nicht allein die Rechtsform oder die Trägerschaft einer Institution, sondern ihre Aufgabe und die dafür bestehende rechtliche Grundlage.
Eine weitere Ausbreitung kann durch spezialrechtliche Grundlagen ermöglicht werden. Sie können AGOV für Bereiche zugänglich machen, die über den durch das EMBAG eröffneten Kreis hinausgehen, in denen jedoch ein hinreichender öffentlicher Zweck für den Einsatz einer staatlichen Authentifizierungsinfrastruktur besteht.
Diese Erweiterung ist für die Digitalisierung der Schweiz wesentlich. Digitale Prozesse verlaufen über Behörden, Staatsebenen, Institutionen und Organisationsformen hinweg. Die rechtlichen Grenzen einer Infrastruktur stimmen deshalb nicht immer mit den fachlichen Grenzen der Prozesse überein, die sie unterstützen soll.
Wo ein System AGOV beziehen darf und das nächste System innerhalb desselben Vorgangs nicht, entstehen zusätzliche Konten, wechselnde Anmeldeverfahren und Brüche in der Prozesskette. Solche Brüche sind nicht immer zu vermeiden. Sie sollten aber nicht allein deshalb bestehen bleiben, weil die Rechtsgrundlagen der Entwicklung der digitalen Prozesse nicht gefolgt sind.
Eine spezialrechtliche Ausbreitung von AGOV darf weder pauschal noch grenzenlos erfolgen. Sie ist dort angezeigt, wo ein durchgängiger Einsatz einen klaren öffentlichen Nutzen schafft, die Sicherheit und Benutzbarkeit verbessert und mit einer angemessenen Abgrenzung gegenüber dem Markt vereinbar ist.
Aus heutiger Sicht müssen die Ausbreitungsgrenzen vor allem in drei Bereichen erweitert werden.
Gesundheitswesen
Im Gesundheitswesen darf kein Authentifizierungsgraben zwischen dem Gesundheitsdossier und den Primärsystemen der Leistungserbringer entstehen.
Das Recht muss den Einsatz von AGOV im Gesundheitswesen so ordnen, dass zusammengehörende Prozesse nicht an einer Systemgrenze auseinandergerissen werden. Eine rechtliche Öffnung, die AGOV für das Gesundheitsdossier zulässt, an dessen Grenze jedoch endet, wäre zu eng.
Für die betroffenen Personen bilden das Gesundheitsdossier und die Primärsysteme Teile eines zusammenhängenden Behandlungsprozesses. Unterschiedliche rechtliche Einordnungen der beteiligten Systeme dürfen nicht ohne sachlichen Grund dazu führen, dass innerhalb dieses Prozesses verschiedene Konten und Anmeldeverfahren erforderlich sind.
Die rechtlichen Grundlagen müssen deshalb den Einsatz von AGOV auch in unmittelbar verbundenen Primärsystemen ermöglichen, soweit dies der Gesundheitsversorgung dient und sachlich gerechtfertigt ist.
Es geht nicht um eine allgemeine Öffnung von AGOV für den Gesundheitsmarkt. Es geht darum, einen Authentifizierungsgraben zwischen zusammengehörenden Gesundheitsprozessen zu verhindern.
Hochschulwesen
Im Hochschulwesen sollte AGOV flächendeckend eingesetzt werden können. Eine anerkannte Hochschule sollte nicht allein deshalb ausgeschlossen sein, weil sie privat statt öffentlich getragen ist.
Entscheidend sind ihre Einbindung in das anerkannte schweizerische Hochschulwesen, der konkrete Anwendungsfall und der öffentliche Bezug. Wo öffentliche Hochschulen AGOV verwenden können, private Hochschulen aber ausgeschlossen bleiben, entsteht eine sachlich kaum begründbare Grenze innerhalb derselben Bildungs- und Forschungslandschaft.
Studierende, Forschende und Lehrende bewegen sich zwischen Hochschulen, staatlichen Förderinstrumenten, Mobilitätsprogrammen, Behördenverfahren und weiteren öffentlichen Leistungen. Unterschiedliche Authentifizierungswelten erschweren diese Übergänge und verhindern durchgängige Prozesse.
Die erforderlichen spezialrechtlichen Grundlagen sollten den Einsatz von AGOV deshalb auch für private anerkannte Hochschulen ermöglichen. Eine private Trägerschaft allein darf kein Ausschlussgrund sein.
Spezialisierte Dienstleister an der Schnittstelle zum Staat
Ein dritter Bereich betrifft spezialisierte Dienstleister, die digitale Übergänge zwischen Privaten und Behörden gestalten.
Nicht jede kommerzielle Dienstleistung mit einem Behördenbezug soll AGOV einsetzen können. Es gibt jedoch Dienstleistungen, die funktional eng mit einem Behördenverfahren verbunden sind und einen Teil der digitalen Prozesskette zwischen einer Person und dem Staat abbilden.
Man stelle sich einen Steuererklärungsservice vor, bei dem sich eine steuerpflichtige Person mit AGOV authentifiziert, ihre Steuererklärung vorbereitet und die erforderlichen Unterlagen zusammenstellt. Wenn der daraus hervorgehende Zustellungs- oder Übermittlungsdienst AGOV nicht verwenden darf, bricht die durchgängige Authentifizierung genau am Übergang zur Behörde ab.
Für solche Fälle braucht es eine spezialrechtliche Öffnung mit klaren Voraussetzungen. Der Einsatz muss unmittelbar mit einem bestimmten Behördenverfahren verbunden sein, den betroffenen Personen einen konkreten Nutzen bringen und verbindliche Anforderungen an Sicherheit und Datenschutz erfüllen.
Der Zugang ist nach sachlichen und wettbewerbsneutralen Kriterien zu regeln. Vergleichbare Anbieter müssen unter vergleichbaren Voraussetzungen Zugang erhalten können. Die Nutzung von AGOV darf weder als staatliche Empfehlung eines Geschäftsmodells erscheinen noch einzelnen Unternehmen einen ungerechtfertigten Vorteil verschaffen.
Der Staat stellt in solchen Fällen eine Authentifizierungsleistung für einen klar umschriebenen Übergang zu einem Behördenverfahren bereit. Er übernimmt damit weder die Verantwortung für die kommerzielle Dienstleistung noch deren inhaltliche Bewertung.
Historische Vergleichslinien
Die kontrollierte Ausbreitung einer staatlichen digitalen Infrastruktur über ihren ursprünglichen Einsatzbereich hinaus ist kein neuer Vorgang.
Der naheliegendste Vergleich ist sedex. Die Plattform wurde im Rahmen der Modernisierung der Volkszählung aufgebaut und am 15. Januar 2008 in Betrieb genommen. Danach wurde sie für zahlreiche weitere Anwendungsbereiche geöffnet. Heute wird sedex von über 8000 Organisationseinheiten in mehr als 80 Domänen eingesetzt. Dazu gehören neben Bund, Kantonen und Gemeinden auch Unternehmen und Verbände.
sedex zeigt einen möglichen Entwicklungsweg: Eine Infrastruktur entsteht für einen klar begrenzten staatlichen Zweck. Mit der Zeit zeigt sich, dass sie auch in weiteren Bereichen einen erheblichen Nutzen schaffen kann. Ihre Ausbreitung erfolgt daraufhin nicht unkontrolliert, sondern domänenweise, unter festgelegten Voraussetzungen und unter Beachtung der jeweils erforderlichen Rechtsgrundlagen.
Der Vergleich bedeutet nicht, dass AGOV denselben Teilnehmerkreis wie sedex erhalten soll. Er zeigt jedoch, dass der ursprüngliche Einsatzbereich einer staatlichen Infrastruktur nicht zwingend ihre endgültige Ausbreitung bestimmt.
Eine zweite, weniger direkte Vergleichslinie bietet die AHV-Nummer. Sie ist ein Identifikator und kein Authentifizierungssystem. Vergleichbar ist daher nicht ihre technische Funktion, sondern die rechtspolitische Entwicklung.
Die AHV-Nummer entstand für einen klar umschriebenen sozialversicherungsrechtlichen Zweck. Mit der Digitalisierung gewann sie auch für weitere Behördenprozesse an Bedeutung. Ihre breitere systematische Verwendung durch Behörden wurde nicht allein aufgrund ihres praktischen Nutzens zugelassen, sondern ausdrücklich gesetzlich geregelt. Die entsprechenden Bestimmungen traten am 1. Januar 2022 in Kraft.
Darin liegt die Parallele zu AGOV: Der technische Nutzen einer Infrastruktur genügt nicht als Grundlage für ihre Ausbreitung. Wo der ursprüngliche Rechtsrahmen nicht ausreicht, braucht es einen politischen Entscheid und eine demokratisch legitimierte rechtliche Grundlage.
Politischer und legislativer Prozess
Die Weiterentwicklung der Ausbreitungsgrenzen von AGOV muss frühzeitig politisch angestossen werden. Gesetzgebungsprozesse benötigen Zeit. Sie dürfen nicht erst dann beginnen, wenn ein konkretes Digitalisierungsvorhaben unmittelbar an einer fehlenden Rechtsgrundlage scheitert.
Bund, Kantone und die betroffenen Sektoren sollten deshalb gemeinsam einen dauerhaften Prozess etablieren. In diesem Prozess sind blockierte und absehbare Anwendungsfälle zu erfassen, nach einheitlichen Kriterien zu beurteilen und politisch zu priorisieren. Daraus müssen rechtzeitig die notwendigen Gesetzgebungsarbeiten abgeleitet werden.
Zu beurteilen ist jeweils insbesondere, ob ein klarer öffentlicher Zweck besteht, ob der Einsatz von AGOV einen zusammenhängenden digitalen Prozess ermöglicht, ob eine staatliche Authentifizierungsleistung erforderlich und verhältnismässig ist und wie der staatsferne Bereich gegenüber dem Markt abgegrenzt werden kann.
Dabei sollte nicht für jeden Einzelfall eine vollständig neue rechtliche Logik entwickelt werden. Wiederkehrende Konstellationen müssen zu nachvollziehbaren Grundsätzen führen: für Institutionen mit öffentlichen Aufgaben, für anerkannte Einrichtungen regulierter Sektoren und für spezialisierte Dienstleister an klar bestimmten Übergängen zum Staat.
AGOV soll nicht weiter ausgedehnt werden, weil dies technisch möglich ist. Es soll dort eingesetzt werden können, wo eine gemeinsame staatliche Authentifizierungsinfrastruktur einen klaren öffentlichen Nutzen schafft, zusammengehörende Prozesse verbindet und unnötige Loginbrüche verhindert.
Ebenso soll AGOV dort begrenzt bleiben, wo kein hinreichender staatlicher Zweck besteht und eine Leistung dem Markt überlassen werden kann.
Die Ausbreitungsgrenzen sind deshalb weder möglichst weit noch möglichst eng zu ziehen.
Sie sind richtig zu ziehen.
Das bedeutet: den staatlichen Kern zu wahren, sinnvolle Übergänge zu ermöglichen und die Rechtsgrundlagen dort weiterzuentwickeln, wo heutige Grenzen zusammengehörende Prozesse auseinanderreissen und damit die digitale Prosperität der Schweiz behindern.
Die sektorielle Ausbreitung von AGOV ist keine Expansion um ihrer selbst willen. Sie ist eine dauerhafte politische Gestaltungsaufgabe für eine kohärente digitale Schweiz.