BVGE-2015-17 - 2015-05-27 - Abteilung I (Infrastruktur, Umwelt, Abgaben, Personal)

LANDESRECHT - DROIT NATIONAL -
DIRITTO NAZIONALE

1 Staat - Volk - Behörden
Etat - Peuple - Autorités
Stato - Popolo - Autorità

17

Auszug aus dem Urteil der Abteilung I
i.S. A. gegen Fachstelle für Personensicherheitsprüfungen
A 4658/2014 vom 27. Mai 2015

Personensicherheitsprüfung. Prüfungsbefugnis der Fachstelle im Hinblick auf die Sicherheitsempfindlichkeit einer Funktion.

Art. 19 Abs. 1

BWIS. Art. 6 Bst. a Ziff. 1 , Art. 8 Abs. 1 , Art. 14 Abs. 1 Bst. c und Art. 14 Abs. 3 PSPV.

1. Während die Fachstelle bei der Entscheidung, ob die Person überhaupt einer Personensicherheitsprüfung zu unterziehen ist, grundsätzlich von den Angaben auf dem Prüfantrag auszugehen hat, muss sie diese im Rahmen der durchgeführten Prüfung kritisch würdigen, gegebenenfalls unter Vornahme eigener Sachverhaltsabklärungen (E. 3.3.2 und 3.3.4).

2. Es liegt im pflichtgemässen Ermessen der Fachstelle, die für die Abwägung zwischen der Sicherheitsempfindlichkeit der Funktion und dem Sicherheitsrisiko im Einzelfall massgeblichen Faktoren sorgfältig zu ermitteln und zu würdigen (E. 3.3.3).

Contrôle de sécurité relatif aux personnes. Pouvoir d'examen du service spécialisé au regard de la sensibilité d'une fonction du point de vue sécuritaire.

Art. 19 al. 1 LMSI. Art. 6 let. a ch. 1, art. 8 al. 1, art. 14 al. 1 let. c et art. 14 al. 3 OCSP.

1. Pour décider si une personne doit être soumise à un contrôle de sécurité, le service spécialisé se base en principe sur les indications figurant sur la demande de contrôle, tandis qu'il doit les apprécier de manière critique dans le cadre du contrôle effectué, au besoin en procédant à une clarification des faits (consid. 3.3.2 et 3.3.4).

2. Il revient au service spécialisé, dans les limites de son pouvoir d'appréciation, d'examiner et d'apprécier soigneusement les facteurs déterminants en présence pour la mise en balance du degré de sensibilité de la fonction et le risque pour la sécurité (consid. 3.3.3).

Controllo di sicurezza relativo alle persone. Facoltà di controllo del servizio specializzato in considerazione del grado di sensibilità della funzione dal punto di vista della sicurezza.

Art. 19 cpv. 1 LMSI. Art. 6 lett. a n.1, art. 8 cpv. 1, art. 14 cpv. 1 lett. c e art. 14 cpv. 3 OCSP.

1. Per decidere se la persona interessata deve essere effettivamente sottoposta a un controllo di sicurezza, il servizio specializzato si basa di principio sulle indicazioni fornite nella richiesta di controllo, mentre nell'ambito del controllo effettuato deve apprezzare in modo critico tali indicazioni, eventualmente procedendo per conto proprio a un accertamento dei fatti (consid. 3.3.2 e 3.3.4).

2. Spetta al servizio specializzato, entro i limiti del suo potere d'apprezzamento, determinare e valutare accuratamente i fattori decisivi per soppesare nel caso concreto il grado di sensibilità della funzione e il rischio dal punto di vista della sicurezza (consid. 3.3.3).

A. arbeitet als Key Account Manager bei der Firma B. AG. Diese ersuchte die Fachstelle für Personensicherheitsprüfung im Bereich Informations- und Objektsicherheit (nachfolgend: Fachstelle), eine Personensicherheitsprüfung für Dritte durchzuführen.

Die Fachstelle erhielt im Verlauf des Verfahrens Kenntnis von mehreren Strafverfahren gegen A. (illegale Pornografie).

Am 31. Juli 2014 erliess die Fachstelle eine Risikoerklärung, wonach sie A. als Sicherheitsrisiko im Sinne des Bundesgesetzes vom 21. März 1997 über Massnahmen zur Wahrung der inneren Sicherheit (BWIS, SR 120) und der Verordnung vom 4. März 2011 über die Personensicherheitsprüfungen (PSPV, SR 120.4) erachte. Es werde empfohlen, ihm keinen Zugang zu vertraulich klassifizierten Informationen oder ebenso klassifiziertem Material zu gewähren.

Gegen diese Verfügung erhebt A. (nachfolgend: Beschwerdeführer) mit Eingabe vom 19. August 2014 Beschwerde ans Bundesverwaltungsgericht und beantragt, die angefochtene Verfügung aufzuheben und ihn nicht als Sicherheitsrisiko zu erachten.

Das Bundesverwaltungsgericht heisst die Beschwerde gut, hebt die angefochtene Verfügung auf und weist die Sache zur Neubeurteilung im Sinne der Erwägungen an die Fachstelle (nachfolgend: Vorinstanz) zurück.

Aus den Erwägungen:

3. Unter anderem rügt der Beschwerdeführer, die Ausführungen der Vorinstanz liessen eine vertiefte Abwägung zwischen dem Sicherheitsrisiko und der Sicherheitsempfindlichkeit seiner Funktion vermissen.

Die Vorinstanz hält dem entgegen, dass es ihr nicht obliege, die Angaben der ersuchenden Stelle auf dem Prüfformular zu überprüfen. Es sei unerheblich, ob die vorgesehenen Tätigkeiten bisher auch ausgeübt worden seien. Im Übrigen bemängelt die Fachstelle die Rechtsprechung des Bundesverwaltungsgerichts, soweit dieses eine eigene Bewertung der Sicherheitsempfindlichkeit der zu prüfenden Funktion vornehme und die vorinstanzliche Risikoerklärung durch eine Sicherheitserklärung ersetze. Dies sei sicherheitsmässig problematisch, weil die betroffene Person dazu legitimiert werde, inskünftig eine sicherheitsempfindliche Funktion auszuüben. Die ersuchende Stelle könne sodann unter den Voraussetzungen von Art. 8 PSPV auf die erneute Einleitung einer Personensicherheitsprüfung verzichten. Richtigerweise müsste das Bundesverwaltungsgericht in solchen Fällen die Verfügung der Fachstelle wegen Rechtswidrigkeit des Prüfauftrags für nichtig erklären. Ausserdem wäre die Streichung des entsprechenden Eintrags im Anhang 1 oder 2 zur PSPV anzuordnen.

3.1

3.1.1 Gemäss Art. 19 Abs. 1

BWIS kann der Bundesrat unter den in den Bst. a bis e aufgeführten Voraussetzungen Sicherheitsprüfungen vorsehen für Bedienstete des Bundes, Angehörige der Armee und des Zivilschutzes sowie Dritte, die an klassifizierten Projekten im Bereich der inneren und äusseren Sicherheit mitwirken. Art. 19 BWIS nennt damit in abschliessender Weise die Voraussetzungen, damit eine Person einer Sicherheitsprüfung unterzogen werden kann (vgl. Urteil des BVGer A 5097/2011 vom 10. Januar 2013 E. 5.2). Der Bundesrat erlässt in Entsprechung der aufgezählten Kriterien eine Liste der Ämter in der Bundesverwaltung und der Funktionen der Armee, für die eine Sicherheitsprüfung durchgeführt werden muss (Art. 19 Abs. 4 BWIS). Im 1. Abschn. (« Zu prüfende Personen ») des 2. Kap. (« Durchführung der Personensicherheitsprüfung ») sowie im Anhang legt die PSPV sodann im Einzelnen fest, welche Stelleninhaber einer Sicherheitsprüfung unterzogen werden müssen.

3.1.2 Die Streichung von solchen Listeneinträgen beziehungsweise deren Anordnung, wie sie von der Vorinstanz angeregt wird, steht dem Bundesverwaltungsgericht von vornherein nicht zu. Eine abstrakte Normenkontrolle, das heisst die Prüfung der Gültigkeit einer Norm in einem besonderen Verfahren unabhängig von einer konkreten Anwendung, ist im Verfahren vor Bundesverwaltungsgericht ausgeschlossen. Gegeben ist nur die konkrete (akzessorische, inzidente, vorfrageweise) Normenkontrolle, das heisst die vorfrageweise Überprüfung einer Norm, deren Anwendung auf den konkreten Einzelfall infrage steht (vgl. Kölz/Häner/ Bertschi, Verwaltungsverfahren und Verwaltungsrechtspflege des Bundes, 3. Aufl. 2013, Rz. 1062). Doch führt auch diese in keinem Fall zur formellen Aufhebung von Rechtsnormen, sondern gibt den Gerichten lediglich die Befugnis, den betreffenden Rechtssatz als rechtswidrig zu erklären und ihm in dem zu beurteilenden Fall die Anwendung zu versagen (Häfelin/Haller/Keller, Schweizerisches Bundesstaatsrecht, 8. Aufl. 2012, N. 2076). Bei Verordnungen, die sich wie die PSPV auf eine gesetzliche Delegation stützen (und nicht wie selbstständige Verordnungen direkt auf der Verfassung beruhen),
beschränkt das Bundesverwaltungsgericht seine Prüfung im Übrigen darauf, ob die Verordnung den Rahmen der dem Bundesrat im Gesetz delegierten Kompetenz offensichtlich sprengt oder aus anderen Gründen gesetz- oder verfassungswidrig ist (Urteil des BVGer A 2768/2014 vom 30. April 2015 E. 4.4; BGE 131 II 562 E. 3.2). Es liegt grundsätzlich nicht am Bundesverwaltungsgericht, den Massstab für die sicherheitsrelevanten Bedenken selber zu definieren (vgl. Urteil des BGer 2A.705/2004 vom 16. März 2005 E. 3.1).

3.2

3.2.1 Bereits die für das Rechtsmittelverfahren damals zuständige Rekurskommission VBS (REKO VBS) hatte in einem Entscheid vom 30. August 2002, in: Verwaltungspraxis der Bundesbehörden (VPB) 67.101, erwogen, dass die Fachstelle ihrerseits nur zu überprüfen habe, ob die Sicherheitsrisiken angekreuzt seien, nicht aber ob sich diese Risiken in der Funktion der zu prüfenden Person auch verwirklichten. Es obliege nämlich der ersuchenden Stelle, auf dem Personensicherheitsprüfungsformular die möglichen Sicherheitsrisiken zu nennen. Die angekreuzten Sicherheitsrisiken bildeten denn auch die Eckpfeiler für die Beurteilung, ob die geprüfte Person in dieser Hinsicht ein Sicherheitsrisiko darstelle (vgl. auch Urteil der REKO VBS 470.03/03 vom 26. August 2003 E. 9a und 9b). Die Fachstelle müsse hingegen immer überprüfen, ob die zu prüfende Person eine Funktion ausübe oder ausüben werde, welche auf der Funktionenliste aufgeführt sei. Sei dies nicht der Fall, fehle es an einer gesetzlichen Grundlage für die Sicherheitsprüfung.

In der Folge übernahm das Bundesverwaltungsgericht im Wesentlichen die Praxis seiner Vorgängerorganisation (vgl. Urteil des BVGer A 6210/2011 vom 5. September 2012 E. 6.3, nicht publ. in: BVGE 2012/25). Namentlich in den Urteilen A 5123/2011 vom 21. Juni 2012 E. 6.3 sowie A 5097/2011 E. 7.3 und 9.1 (jeweils letzter Abschnitt) kommt indessen zum Ausdruck, dass die Einschränkung der Prüfungsbefugnis lediglich die Frage betrifft, ob die betreffende Person überhaupt einer Personensicherheitsprüfung zu unterziehen sei (vgl. auch das Urteil des BVGer A 3053/2012 vom 5. Juli 2013 E. 6.3). Insofern muss nur geprüft werden, ob die ausgeübte Funktion im Katalog aufgeführt ist, nicht aber, ob die Funktion im konkreten Fall tatsächlich den Zugang zu klassifizierten Informationen oder klassifiziertem Material mit sich bringt. Es genügt, wenn die Funktion einen solchen Zugang grundsätzlich ermöglichen kann und dieser nur den hierzu berechtigten Personen zustehen soll. Denn bereits das Fehlverhalten einer einzigen Person könnte ein ganzes klassifiziertes Projekt erschweren oder sogar vereiteln (vgl. Urteil des BVGer A 518/2012 vom 15. August 2012 E. 4.2; vgl. auch Botschaft vom 7. März 1994 zum Bundesgesetz über Massnahmen zur Wahrung der
inneren Sicherheit [...], BBl 1994 II 1127, 1185).

3.2.2 Die Schwelle für die Einleitung einer Personensicherheitsprüfung darf mithin nicht zu hoch angesetzt werden, auch wenn anzuerkennen ist, dass die Prüfung als solche einen schweren Grundrechtseingriff darstellen kann (vgl. zu Letzterem Reto Patrick Müller, Personensicherheitsprüfungen in der Armee, Sicherheit & Recht 01/2015 S. 9ff., insb. 18 m.H. auf den Erläuternden Bericht vom 26. März 2014 zum Entwurf eines Bundesgesetzes über die Informationssicherheit [ISG] S. 21, nachfolgend: Erläuternder Bericht ISG). Dementsprechend ist die Prüfungsbefugnis der Vorinstanz hinsichtlich der Frage, ob sie aufgrund der Sicherheitsempfindlichkeit der Funktion eine Personensicherheitsprüfung einleitet, insofern eingeschränkt, als sie grundsätzlich auf die Funktionenliste und die Angaben auf dem Prüfformular abzustellen hat. Während sie diese nicht auf ihre Korrektheit hin überprüfen muss, hat sie sich immerhin zu vergewissern, dass die Informationen vollständig sind. Nur ein genügend konkretisierter Prüfantrag vermag die mit einem erheblichen Eingriff in die Privatsphäre des Betreffenden (vgl. Art. 13 BV) verbundene Sicherheitsprüfung zu rechtfertigen.

3.3

3.3.1 Eine weitergehende Überprüfung der Sicherheitsempfindlichkeit der fraglichen Funktion ist dagegen im Hinblick auf den Erlass der Verfügung nach Art. 22 Abs. 1 PSPV angezeigt: Dem konkreten Schutzinteresse des Staates kommt bei der Durchführung der Prüfung, ob der Beschwerdeführer in seiner Funktion tatsächlich ein erhöhtes Sicherheitsrisiko im Sinne des BWIS darstellt, eine erhebliche Bedeutung zu. Die für den Betroffenen oftmals mit einschneidenden Folgen verbundene Risikoverfügung muss vom öffentlichen Interesse der inneren Staatssicherheit gedeckt und im Einzelfall verhältnismässig sein (vgl. Urteil des BVGer A 3627/2009 vom 21. August 2009 E. 4.4). Das Sicherheitsrisiko einer Person lässt sich nun aber nicht losgelöst von ihrer genauen Funktion beziehungsweise Tätigkeit und deren Sicherheitsempfindlichkeit für den Staat beurteilen (vgl. bereits das Urteil des BVGer A 802/2007 vom 3. Dezember 2007 E. 7). Bei der Beurteilung, ob eine Person ein Sicherheitsrisiko im Sinne des BWIS darstellt, ist stets eine Abwägung zu treffen zwischen der Sicherheitsempfindlichkeit der Funktion und dem konkreten Risiko, das von der betroffenen Person ausgeht. Je heikler eine Funktion ist, desto tiefer ist
die Schwelle für ein Sicherheitsrisiko anzusetzen (vgl. die Urteile des BVGer A 4910/2013 vom 8. Mai 2014 E. 5 und A 6383/2012 vom 26. Juni 2013 E. 5 m.w.H.).

3.3.2 Vor diesem Hintergrund leuchtet es ein, dass die Prüfungsbefugnis der Fachstelle wie auch jene des Bundesverwaltungsgerichts im Rahmen der durchgeführten Sicherheitsprüfung nicht auf eine rein formelle Überprüfung der Angaben auf dem Prüfantrag beschränkt sein kann (vgl. Müller, a.a.O., S. 15). Vielmehr obliegt es der Fachstelle, in Ausübung des ihr zustehenden Ermessens (...) nebst den persönlichen Verhältnissen der überprüften Person auch die sicherheitsrelevanten Aspekte der fraglichen Funktion zu eruieren und gegeneinander abzuwägen. Dies gilt in besonderem Ausmass für die Prüfung von Drittpersonen, die an klassifizierten Projekten im Bereich der inneren und äusseren Sicherheit mitwirken (vgl. E. 4.4).

3.3.3 Gleichwohl ist festzuhalten, dass nach der Praxis des Bundesverwaltungsgerichts ein gewisser Schematismus bei der Prüfung von sicherheitsempfindlichen Funktionen unumgänglich ist (vgl. statt vieler Urteil des BVGer A 777/2014 vom 30. Oktober 2014 E. 6.4; kritisch Müller, a.a.O., S. 15). So ist grundsätzlich vom Stellenbeschrieb auszugehen, zumal dieser alle möglichen Aufgaben auflistet und die Prüfung im Hinblick auf sämtliche allenfalls zu erledigenden Aufgaben erfolgt. Deshalb ist nicht erheblich, ob die vorgesehenen Tätigkeiten bisher tatsächlich ausgeübt wurden. Andernfalls müsste eine Personensicherheitsprüfung bei jeder massgeblichen Anpassung der tatsächlich ausgeübten Tätigkeiten wiederholt werden (vgl. Urteile des BVGer A 912/2014 vom 18. September 2014 E. 5.2 und A 825/2014 vom 14. August 2014 E. 5.2.1 m.w.H.).

Allerdings gilt es im Auge zu behalten, dass die vorzunehmende Abwägung zwischen Sicherheitsempfindlichkeit und Sicherheitsrisiko stets eine Einzelfallbetrachtung darstellt, bei der eine Reihe unterschiedlicher Faktoren eine Rolle spielen kann. Bisweilen stellt das Bundesverwaltungsgericht bei der Beurteilung der Sicherheitsempfindlichkeit neben dem Stellenbeschrieb auf weitere Umstände ab, wie etwa die Befragung der Person (vgl. die Urteile des BVGer A 825/2014 E. 5.3; A 4910/2013 E. 6.4 und A 6797/2013 vom 1. September 2014 E. 5.4). In gewissen Fällen erachtete es sodann die bloss abstrakte Möglichkeit, bei Gelegenheit der Arbeitsverrichtung an klassifizierte Informationen zu gelangen, als nicht ausreichend für eine Risikoverfügung (Urteile des BVGer A 825/2014 E. 5.3 und A 4910/2013 E. 6.4). Allgemeine Regeln zu dieser Prüfung lassen sich indes nicht aufstellen. Vielmehr liegt es im pflichtgemässen Ermessen der Fachstelle, die für die Abwägung im Einzelfall massgeblichen Faktoren sorgfältig zu ermitteln und zu würdigen.

3.3.4 Bei der Frage der Prüfungsbefugnis im Hinblick auf die Sicherheitsempfindlichkeit der Funktion ist somit zu unterscheiden: Während die Fachstelle bei der Entscheidung, ob die betreffende Person überhaupt einer Personensicherheitsprüfung zu unterziehen ist, grundsätzlich von den Angaben auf dem Prüfantrag auszugehen hat (vgl. E.3.2.2), muss sie diese im Rahmen der durchgeführten Prüfung kritisch würdigen, gegebenenfalls unter Vornahme eigener Sachverhaltsabklärungen (vgl. E. 3.3.2).

3.4

3.4.1 Die Bedenken der Vorinstanz für den Fall, dass das Bundesverwaltungsgericht eine von ihr ausgesprochene Risikoerklärung wegen unzureichender Sicherheitsempfindlichkeit der Funktion aufhebt, sind im Übrigen unbegründet. Der Argumentation, wonach die betroffene Person in diesem Fall dazu legitimiert würde, inskünftig eine sicherheitsempfindliche Funktion auszuüben, ist entgegenzuhalten, dass sich die mit gutheissendem Urteil ausgesprochene Feststellung der Unbedenklichkeit jeweils auf die konkret beurteilte Funktion bezieht (vgl. Urteile des BVGer A 6797/2013 E. 10 und Dispositiv-Ziff. 1; A 825/2014 Dispositiv-Ziff. 1).

Gemäss Art. 8 Abs. 1 PSPV kann die ersuchende Stelle zwar auf eine erneute Personensicherheitsprüfung verzichten, wenn die Person innerhalb von fünf Jahren vor der Vorabklärung bereits einer Personensicherheitsprüfung unterzogen wurde. Indessen ist davon auszugehen, dass die ersuchende Stelle nach pflichtgemässem Ermessen eine erneute Prüfung beantragen wird, falls die gerichtlich festgestellte Unbedenklichkeit (einzig) mit der mangelnden Sicherheitsempfindlichkeit der Funktion zusammenhängt und die Person fortan eine neue sicherheitsrelevante Funktion übernimmt. Eine solche Auslegung ist auch im Lichte von Art. 18 Abs. 2 PSPV geboten, wonach die ersuchende Stelle im Fall von neuen Risiken bei der zuständigen Prüfbehörde vor Ablauf von fünf Jahren eine Wiederholung der Personensicherheitsprüfung einleiten kann. Es verhält sich insofern nicht anders, als wenn die Fachstelle selber mangels Sicherheitsempfindlichkeit der Funktion eine Sicherheitserklärung ausspricht: Auch in diesem Fall wäre die Prüfung bei Übernahme einer neuen Funktion sinnvollerweise zu wiederholen.

3.4.2 Letztlich liegt es aber in der Verantwortung der auftragserteilenden beziehungsweise anstellenden Behörde, zu entscheiden, ob sie ein allfälliges erhöhtes Personalrisiko tragen, ob sie es mit bestimmten Auflagen reduzieren oder ob sie es durch Nichtanstellung oder Kündigung vermeiden will (Erläuternder Bericht ISG S. 21). Die entscheidende Instanz ist dementsprechend an die Beurteilung der Prüfbehörde nicht gebunden (Art. 21 Abs. 4 Satz 2 BWIS; Art. 23 Abs. 1 PSPV). Auch eine positive Beurteilung des Sicherheitsrisikos durch die Fachstelle entbindet die Linienvorgesetzten auf keinen Fall von ihrer Führungsverantwortung und von ihrer Pflicht, Personalrisiken zu identifizieren und zu bewältigen (Erläuternder Bericht ISG S. 21). Diese Pflicht gilt selbstredend im Falle einer Personensicherheitsprüfung für Dritte auch für die nach Art. 24 Abs. 2 Bst. b PSPV auftragserteilende Bundesbehörde.

4. Auf S. 5f. der Risikoerklärung hält die Vorinstanz fest, dass der Beschwerdeführer gemäss ausgefülltem Prüfformular in seiner Funktion als Key Account Manager bei der B. AG Zugang zu vertraulich klassifizierten Informationen oder ebenso klassifiziertem Material benötige, wobei der diesbezügliche Entscheid der ersuchenden Stelle und nicht der Fachstelle oder der zu prüfenden Person obliege. In der Folge verzichtete die Vorinstanz auf eine eigene Beurteilung der Sicherheitsempfindlichkeit der Funktion.

4.1 Dritte werden einer Personensicherheitsprüfung unterzogen, wenn sie im Rahmen eines Vertrags oder als Mitarbeiterin oder Mitarbeiter eines vertraglich verpflichteten Unternehmens oder einer solchen Organisation an einem klassifizierten Projekt im Bereich der inneren oder äusseren Sicherheit mitwirken und dabei Zugang erhalten zu vertraulich oder geheim klassifizierten Informationen oder ebenso klassifiziertem Material (Art. 6 Bst. a Ziff. 1 PSPV).

Daraus erhellt, dass selbst die Anstellung bei einer Unternehmung, die regelmässig sicherheitsrelevante Aufgaben für den Bund übernimmt, für sich alleine noch keine Personensicherheitsprüfung indiziert. Zusätzlich ist erforderlich, dass die Person auch tatsächlich an einem klassifizierten Projekt mitwirkt und dabei Zugang zu entsprechend klassifizierten Informationen erhält. Ferner statuiert Art. 14 Abs. 3 PSPV, dass die ersuchende Stelle auf dem Prüfformular den mit der Funktion oder der Erfüllung eines Auftrags verbundenen Prüfgrund und die Prüfstufe nach Art. 9 PSPV zu benennen hat. Demnach beschränkt sich auch die gemäss Art. 19 Abs. 3 Satz 2 BWIS erforderliche Zustimmung der zu prüfenden Person auf das konkret bezeichnete Projekt, für das die Prüfung durchgeführt werden soll (Urteile des BVGer A 912/2014 E. 5.4 und A 4924/2012 vom 1. Juli 2013 E. 7.2).

4.2 Auf dem bei der Vorinstanz eingereichten Prüfformular « Personensicherheitsprüfung für Dritte » wird das Projekt als « zivil » und der Beschwerdeführer in der Funktion « Mitarbeiter/in » aufgeführt, während als Prüfstufe eine Grundsicherheitsprüfung nach Art. 10 PSPV vorgesehen ist. Unter dem Stichwort Projektbeschrieb steht sodann der Ausdruck « Div. Linie ». Dem vom Beschwerdeführer auf Anfrage der Vorinstanz nachgereichten Formular 06.096.05 dfi « Weitere Angaben zur Person für Dritte » lässt sich schliesslich entnehmen, dass dieser als Key Account Manager offenbar für (...) tätig ist. Diese Angaben decken sich auch mit seinen Aussagen anlässlich der persönlichen Befragung vom 25. April 2014. Dabei beteuerte er allerdings, dass er in seiner gegenwärtigen Funktion bisher an keinen vertraulichen oder anders klassifizierten Projekten beteiligt sei und dies auch zukünftig nicht unbedingt vorgesehen sei (...).

Ob dieses Vorbringen zutrifft, lässt sich anhand der Akten nicht beurteilen. Diese enthalten weder zum anlassgebenden Projekt beziehungsweise zur auftragserteilenden Stelle noch zur Art der Mitarbeit des Beschwerdeführers nähere Informationen. Auch der Befragung lassen sich diesbezüglich kaum weiterführende Hinweise entnehmen. Folglich erweist sich der Sachverhalt nach dem Gesagten als unzureichend geklärt, um die ausgesprochene Risikoerklärung zu rechtfertigen. Grundlage für deren Erlass bildet, wie in E. 3.3.3 aufgezeigt, neben den persönlichen Verhältnissen in der Regel die Stellenbeschreibung der vom Betreffenden auszuübenden Funktion, welche den Akten indessen nicht beiliegt.

4.3 Abgesehen davon sind die Angaben auf dem Prüfformular unvollständig und zu allgemein, um den Anforderungen von Art. 6 Bst. a Ziff. 1 und Art. 14 Abs. 3 PSPV an die Durchführung einer Personensicherheitsprüfung zu genügen. Sie geben insbesondere keinen Aufschluss darüber, ob und inwiefern der Beschwerdeführer Zugang zu vertraulich oder geheim klassifizierten Informationen oder ebenso klassifiziertem Material erhalten könnte. Da der Beschwerdeführer als Key Account Manager primär für die Kundenbetreuung und die kommerziellen Aspekte der zu erbringenden Dienstleistungen zuständig sein dürfte, ist ein Zugang zu klassifizierten Informationen keineswegs offenkundig.

4.4 Überdies fällt ins Gewicht, dass Mitarbeiter von Drittfirmen nicht in einer vom Bundesrat beziehungsweise den zuständigen Departementen erlassenen Funktionenliste aufgeführt sind, welche den für die Vorinstanz grundsätzlich verbindlichen Entscheid betreffend die Durchführung einer Personensicherheitsüberprüfung faktisch vorwegnimmt. Umso mehr hat die Fachstelle in solchen Fällen zunächst abzuklären, ob die Angaben der ersuchenden Stelle vollständig und hinreichend konkret sind, bevor sie zur Überprüfung der persönlichen Verhältnisse des Betreffenden schreitet. Andernfalls lässt sich der mit der Personensicherheitsprüfung verbundene Grundrechtseingriff mangels ausgewiesener Erforderlichkeit der Massnahme nicht rechtfertigen. Besondere Aufmerksamkeit ist schliesslich angebracht, wenn der Antrag, wie vorliegend, direkt von der Unternehmung gestellt wird (vgl. E. 5).

4.5 Unter diesen Umständen hätte die Vorinstanz noch vor der Befragung des Beschwerdeführers den Prüfantrag der ersuchenden Stelle zur Ergänzung zurückweisen beziehungsweise die für die Durchführung der Personensicherheitsprüfung benötigten Informationen nachfordern müssen (vgl. Krauskopf/Emmenegger, in: Praxiskommentar VwVG, 2009, Art. 13 N. 47ff.). Die ersuchende Stelle trifft in solchen Fällen die Pflicht, an der Sachverhaltsaufklärung mitzuwirken (Art. 13 Abs. 1 Bst. a VwVG).

5. Weiter ist zu beachten, dass Unternehmen nach dem Wortlaut von Art. 14 Abs. 1 Bst. c PSPV nur dann als « ersuchende Stellen » für die Einleitung der Personensicherheitsprüfung zuständig sind, wenn sie über eine gültige Betriebssicherheitserklärung im Rahmen des Geheimschutzverfahrens verfügen; andernfalls liegt die Zuständigkeit bei der Stelle, welche dem Unternehmen den Auftrag erteilt. Ob die B. AG eine solche Erklärung besitzt und damit Personensicherheitsprüfungen für ihre Mitarbeiter beantragen darf, geht aus den Akten nicht hervor. Auch dies hätte die Vorinstanz vorgängig abklären und entsprechend dokumentieren müssen (vgl. auch Krauskopf/Emmenegger, a.a.O., Art. 12 N. 42ff.).

SR 120.4 Verordnung vom 4. März 2011 über die Personensicherheitsprüfungen (PSPV) PSPV Art. 6 Dritte - Dritte werden einer Personensicherheitsprüfung unterzogen, wenn sie:
^a	im Rahmen eines Vertrags oder als Mitarbeiterin oder Mitarbeiter eines vertraglich verpflichteten Unternehmens oder einer solchen Organisation an einem klassifizierten Projekt im Bereich der inneren oder äusseren Sicherheit mitwirken und dabei Zugang erhalten zu:
^a1	VERTRAULICH oder GEHEIM klassifizierten Informationen oder ebenso klassifiziertem Material,
^a2	Schutzzone 2 oder 3 einer militärischen Anlage;
^b	aufgrund internationaler Informationsschutzabkommen geprüft werden müssen.

SR 120.4 Verordnung vom 4. März 2011 über die Personensicherheitsprüfungen (PSPV) PSPV Art. 8 Vorabklärung
¹	Stellt die ersuchende Stelle im Informationssystem Personensicherheitsprüfung (SIBAD) nach den Artikeln 144-149 des Bundesgesetzes vom 3. Oktober 200810 über militärische und andere Informationssysteme im VBS fest, dass die zu prüfende Person innerhalb von fünf Jahren vor der Vorabklärung bereits einer Personensicherheitsprüfung unterzogen wurde, so kann sie auf die Personensicherheitsprüfung verzichten.11
²	Wurde die zu prüfende Person innerhalb von fünf Jahren vor der Vorabklärung keiner Personensicherheitsprüfung oder einer Personensicherheitsprüfung nach einer tieferen Prüfstufe unterzogen, so leitet die ersuchende Stelle die Personensicherheitsprüfung ein.

SR 120.4 Verordnung vom 4. März 2011 über die Personensicherheitsprüfungen (PSPV) PSPV Art. 14 Einleitung
¹	Für die Einleitung der Personensicherheitsprüfung sind die folgenden Stellen zuständig (ersuchende Stellen):
^a	für Bedienstete des Bundes: die mit der Vorbereitung der Anstellung betraute oder die für die Aufgabenübertragung zuständige Stelle;
^b	für Angehörige der Armee und Stellungspflichtige: der Führungsstab der Armee (FST A) innerhalb der Gruppe Verteidigung des VBS; Antrag auf Einleitung der Personensicherheitsprüfung können beim FST A auch folgende Personen stellen: die Kommandanten grosser Verbände, der Kommandostäbe, der Truppenkörper, der Kompetenzzentren, der Gefässe Ausbildung und Support, der Fortbildungsdienste der Truppe oder der Grundausbildungsdienste sowie die Kommandanten oder Chefs des Hauptquartiers und der Stäbe Bundesrat;
^bbis	für Angehörige des Zivilschutzes: die für den Zivilschutz zuständige Stelle des Kantons;
^c	für an klassifizierten Projekten ab Stufe VERTRAULICH beteiligte Dritte: die Stelle, die den Auftrag erteilt, sowie Unternehmen mit gültiger Betriebssicherheitserklärung im Rahmen des Geheimschutzverfahrens;
^d	für Angestellte der Kantone: die vom Kanton bezeichnete Stelle.
²	Bei Dritten, die an klassifizierten militärischen Projekten beteiligt sind, leitet die für die Industriesicherheit im VBS zuständige Stelle die Personensicherheitsprüfung ein.
³	Die ersuchende Stelle nennt auf dem Prüfformular den mit der Funktion oder der Erfüllung eines Auftrags verbundenen Prüfgrund und die Prüfstufe nach Artikel 9.
⁴	Sie gibt das Prüfformular und das Merkblatt über das Prüfverfahren sowie gegebenenfalls das Formular «Weitere Angaben zur Person» der zu prüfenden Person ab.
⁵	Willigt die zu prüfende Person in die Personensicherheitsprüfung ein, so füllt sie das oder die Formulare aus und gibt es oder sie der ersuchenden Stelle datiert und unterzeichnet zurück. Bei Dritten erfolgt die Rücksendung an die ersuchende Stelle über die Arbeitgeberin oder den Arbeitgeber.
⁶	Bei Personensicherheitsprüfungen, die ohne Einwilligung der zu prüfenden Person durchgeführt werden können, ist die Unterzeichnung freiwillig.

SR 120.4 Verordnung vom 4. März 2011 über die Personensicherheitsprüfungen (PSPV) PSPV Art. 14 Einleitung
¹	Für die Einleitung der Personensicherheitsprüfung sind die folgenden Stellen zuständig (ersuchende Stellen):
^a	für Bedienstete des Bundes: die mit der Vorbereitung der Anstellung betraute oder die für die Aufgabenübertragung zuständige Stelle;
^b	für Angehörige der Armee und Stellungspflichtige: der Führungsstab der Armee (FST A) innerhalb der Gruppe Verteidigung des VBS; Antrag auf Einleitung der Personensicherheitsprüfung können beim FST A auch folgende Personen stellen: die Kommandanten grosser Verbände, der Kommandostäbe, der Truppenkörper, der Kompetenzzentren, der Gefässe Ausbildung und Support, der Fortbildungsdienste der Truppe oder der Grundausbildungsdienste sowie die Kommandanten oder Chefs des Hauptquartiers und der Stäbe Bundesrat;
^bbis	für Angehörige des Zivilschutzes: die für den Zivilschutz zuständige Stelle des Kantons;
^c	für an klassifizierten Projekten ab Stufe VERTRAULICH beteiligte Dritte: die Stelle, die den Auftrag erteilt, sowie Unternehmen mit gültiger Betriebssicherheitserklärung im Rahmen des Geheimschutzverfahrens;
^d	für Angestellte der Kantone: die vom Kanton bezeichnete Stelle.
²	Bei Dritten, die an klassifizierten militärischen Projekten beteiligt sind, leitet die für die Industriesicherheit im VBS zuständige Stelle die Personensicherheitsprüfung ein.
³	Die ersuchende Stelle nennt auf dem Prüfformular den mit der Funktion oder der Erfüllung eines Auftrags verbundenen Prüfgrund und die Prüfstufe nach Artikel 9.
⁴	Sie gibt das Prüfformular und das Merkblatt über das Prüfverfahren sowie gegebenenfalls das Formular «Weitere Angaben zur Person» der zu prüfenden Person ab.
⁵	Willigt die zu prüfende Person in die Personensicherheitsprüfung ein, so füllt sie das oder die Formulare aus und gibt es oder sie der ersuchenden Stelle datiert und unterzeichnet zurück. Bei Dritten erfolgt die Rücksendung an die ersuchende Stelle über die Arbeitgeberin oder den Arbeitgeber.
⁶	Bei Personensicherheitsprüfungen, die ohne Einwilligung der zu prüfenden Person durchgeführt werden können, ist die Unterzeichnung freiwillig.

SR 120.4 Verordnung vom 4. März 2011 über die Personensicherheitsprüfungen (PSPV) PSPV Art. 8 Vorabklärung
¹	Stellt die ersuchende Stelle im Informationssystem Personensicherheitsprüfung (SIBAD) nach den Artikeln 144-149 des Bundesgesetzes vom 3. Oktober 200810 über militärische und andere Informationssysteme im VBS fest, dass die zu prüfende Person innerhalb von fünf Jahren vor der Vorabklärung bereits einer Personensicherheitsprüfung unterzogen wurde, so kann sie auf die Personensicherheitsprüfung verzichten.11
²	Wurde die zu prüfende Person innerhalb von fünf Jahren vor der Vorabklärung keiner Personensicherheitsprüfung oder einer Personensicherheitsprüfung nach einer tieferen Prüfstufe unterzogen, so leitet die ersuchende Stelle die Personensicherheitsprüfung ein.

SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999 BV Art. 13 Schutz der Privatsphäre - 1 Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
¹	Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
²	Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten.

SR 120.4 Verordnung vom 4. März 2011 über die Personensicherheitsprüfungen (PSPV) PSPV Art. 22 Verfügung
¹	Die Prüfbehörde erlässt eine der folgenden Verfügungen:
^a	Sicherheitserklärung: Die Person wird als unbedenklich beurteilt.
^b	Sicherheitserklärung mit Auflagen: Die Person wird als Sicherheitsrisiko mit Vorbehalt beurteilt.
^c	Risikoerklärung: Die Person wird als Sicherheitsrisiko beurteilt.
^d	Feststellungserklärung: Für die Beurteilung sind zu wenig Daten vorhanden.
²	Die Prüfbehörde eröffnet Verfügungen nach Absatz 1 Buchstabe a schriftlich der betroffenen Person und der ersuchenden Stelle zuhanden der entscheidenden Instanz.
³	Sie eröffnet Verfügungen nach Absatz 1 Buchstaben b-d schriftlich der betroffenen Person und der entscheidenden Instanz.
⁴	Sie eröffnet Verfügungen nach Absatz 1 Buchstaben b-d, die Dritte betreffen, zusätzlich schriftlich der Arbeitgeberin oder dem Arbeitgeber sowie allfälligen anderen Beschwerdeberechtigten.

SR 120.4 Verordnung vom 4. März 2011 über die Personensicherheitsprüfungen (PSPV) PSPV Art. 18 Wiederholung
¹	Die Personensicherheitsprüfung wird wiederholt nach:
^a	acht Jahren bei Personen nach Artikel 10 Absatz 2 Buchstaben a-e;
^b	sechs Jahren bei Personen nach Artikel 11 Absatz 2 Buchstaben a-f;
^c	fünf Jahren bei Personen nach Artikel 12 Absatz 1 Buchstaben a-e und Absatz 2 Buchstaben a-c.27
²	Hat die ersuchende Stelle Grund anzunehmen, dass seit der letzten Prüfung neue Risiken entstanden sind oder hat sie Kenntnis von einem Strafverfahren gegen die betroffene Person, so kann sie bei der zuständigen Prüfbehörde vor Ablauf von fünf Jahren eine Wiederholung der Personensicherheitsprüfung einleiten. In diesem Fall ist die Wiederholung schriftlich zu begründen.
³	Das EDA kann für versetzungspflichtiges und im Ausland eingesetztes Personal in Absprache mit den Prüfbehörden andere Fristen bestimmen.
⁴	Vorbehalten bleiben kürzere Fristen in entsprechenden internationalen Abkommen.
⁵	Die Wiederholung wird von der ersuchenden Stelle eingeleitet.
⁶	Das Verfahren richtet sich nach der Prüfstufe, die im Zeitpunkt der Einleitung massgeblich ist.

SR 120.4 Verordnung vom 4. März 2011 über die Personensicherheitsprüfungen (PSPV) PSPV Art. 23 Folgen der Verfügung
¹	Die entscheidende Instanz ist nicht an die Verfügung der Prüfbehörde gebunden.
²	Erlässt die Prüfbehörde eine Risikoerklärung oder eine Sicherheitserklärung mit Auflagen und untersteht die betreffende Person im Zusammenhang mit einer anderen Funktion oder Tätigkeit schon der Personensicherheitsprüfung, so kann die Prüfbehörde die entscheidende Instanz, die für die Übertragung dieser anderen Funktion oder Tätigkeit zuständig ist, über das Resultat der Personensicherheitsprüfung informieren.
³	Die Prüfbehörde informiert die entscheidende Instanz über den Eintritt der Rechtskraft in Fällen, in denen sie eine Verfügung nach Artikel 22 Absatz 1 Buchstaben b-d erlassen hat.
⁴	Die zuständigen militärischen Behörden stellen bei Angehörigen der Armee sicher, dass die Sicherheitserklärung mit Prüfstufe im Personalinformationssystem der Armee eingetragen wird.
⁵	Die für den Zivilschutz zuständigen Stellen der Kantone stellen bei Angehörigen des Zivilschutzes sicher, dass die Sicherheitserklärung mit Prüfstufe im kantonalen Kontrollsystem eingetragen wird.36

SR 120.4 Verordnung vom 4. März 2011 über die Personensicherheitsprüfungen (PSPV) PSPV Art. 24 Entscheidende Instanz
¹	Entscheidende Instanz ist die Behörde, die für die Wahl oder die Übertragung des Amtes oder der Funktion oder die Erteilung des Auftrags zuständig ist.
²	Bei den Personensicherheitsprüfungen nach Artikel 19 Absatz 1 Buchstabe d BWIS ist entscheidende Instanz:
^a	bei Dritten, die an klassifizierten militärischen Projekten beteiligt sind oder die aufgrund internationaler Informationsschutzabkommen geprüft werden müssen: die für die Industriesicherheit im VBS zuständige Stelle;
^b	bei Dritten, die an klassifizierten zivilen Projekten beteiligt sind oder die aufgrund internationaler Informationsschutzabkommen geprüft werden müssen: die auftragserteilende Bundesbehörde.

SR 120.4 Verordnung vom 4. März 2011 über die Personensicherheitsprüfungen (PSPV) PSPV Art. 9 Prüfstufen
¹	Die Personensicherheitsprüfungen werden nach den folgenden Prüfstufen durchgeführt:
^a	Grundsicherheitsprüfung;
^b	erweiterte Personensicherheitsprüfung;
^c	erweiterte Personensicherheitsprüfung mit Befragung.
²	Die zuständigen Bundesbehörden legen für die Funktionen nach den Anhängen 1 und 2 die jeweilige Prüfstufe in Form einer Verordnung fest.

SR 120.4 Verordnung vom 4. März 2011 über die Personensicherheitsprüfungen (PSPV) PSPV Art. 10 Grundsicherheitsprüfung
¹	Für die Grundsicherheitsprüfung ist die Fachstelle PSP VBS zuständig.
²	Die Grundsicherheitsprüfung wird durchgeführt:
^a	bei Bediensteten des Bundes und Angestellten der Kantone mit regelmässigem Zugang zu VERTRAULICH klassifizierten Informationen oder ebenso klassifiziertem Material;
^b	bei Angehörigen der Armee und des Zivilschutzes sowie Dritten mit Zugang zu VERTRAULICH klassifizierten Informationen oder ebenso klassifiziertem Material;
^c	bei Personen mit Zugang zu Schutzzone 2 einer militärischen Anlage;
^d	bei Personen mit Zugang zu schweizerischen oder internationalen militärischen Sicherheits- oder Sperrzonen;
^e	bei Personen, die aufgrund internationaler Abkommen Zugang zu VERTRAULICH klassifizierten Informationen oder ebenso klassifiziertem Material erhalten;
^f	anlässlich der Rekrutierung bei Stellungspflichtigen, die vorgesehen sind für Funktionen mit Zugang zu:
^f1	VERTRAULICH klassifizierten Informationen oder ebenso klassifiziertem Material,
^f2	Schutzzone 2 einer militärischen Anlage.
³	Die Prüfbehörde erhebt die Daten nach Artikel 20 Absatz 2 Buchstaben a und d BWIS.
⁴	Sie kann zusätzlich die Daten nach Artikel 20 Absatz 2 Buchstaben b, c, e und f BWIS erheben und von der betreffenden Person verlangen, dass sie das Formular «Weitere Angaben zur Person» ausfüllt, wenn:
^a	die betreffende Person in einem Register nach Artikel 20 Absatz 2 BWIS verzeichnet ist:
^b	für die Beurteilung zu wenig Daten vorhanden sind;
^c	die Prüfbehörde über sicherheitsrelevante Informationen verfügt und aus diesem Grund beabsichtigt, die Verfügung nach Artikel 22 Absatz 1 Buchstabe a nicht zu erlassen.
⁵	Die Prüfbehörde beurteilt die betreffende Person aufgrund der erhobenen Daten.

SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz VwVG Art. 13
¹	Die Parteien sind verpflichtet, an der Feststellung des Sachverhaltes mitzuwirken:
^a	in einem Verfahren, das sie durch ihr Begehren einleiten;
^b	in einem anderen Verfahren, soweit sie darin selbständige Begehren stellen;
^c	soweit ihnen nach einem anderen Bundesgesetz eine weitergehende Auskunfts- oder Offenbarungspflicht obliegt.
^1bis	Die Mitwirkungspflicht erstreckt sich nicht auf die Herausgabe von Gegenständen und Unterlagen aus dem Verkehr einer Partei mit ihrem Anwalt, wenn dieser nach dem Anwaltsgesetz vom 23. Juni 200034 zur Vertretung vor schweizerischen Gerichten berechtigt ist.35
²	Die Behörde braucht auf Begehren im Sinne von Absatz 1 Buchstabe a oder b nicht einzutreten, wenn die Parteien die notwendige und zumutbare Mitwirkung verweigern.