Sachverhalt
Die Beschwerdeführerin, Klubi Sportiv Skënderbeu (der Klub), ist ein albanischer professioneller Fussballklub und Mitglied des albanischen Fussballverbands, der der UEFA angeschlossen ist. Die UEFA ist ein Verein nach schweizerischem Recht mit Sitz in Nyon (die Beschwerdegegnerin). Die UEFA betreibt zusammen mit der Gesellschaft Sportradar ein System zur Erkennung von Betrug bei Sportwetten (BFDS), das seit 2010 mehr als fünfzig Spiele des Klubs ermittelt hat, die angeblich manipuliert wurden.
Im Jahr 2016 verlangten die Inspektoren der UEFA, dass der Klub nicht zur Champions League 2016/2017 zugelassen wird. Mit Schiedsspruch vom 21. November 2016 (CAS 2016/A/4650) bestätigte der CAS das Verbot, an den Wettbewerben der UEFA für die Saison 2016/2017 teilzunehmen.
Ein neues Disziplinarverfahren wurde am 8. Februar 2018 auf der Grundlage der BFDS-Berichte zu vier Begegnungen eröffnet: die Niederlage 2-3 gegen den FC Crusaders (21. Juli 2015), die Niederlage 1-4 gegen den NK Dinamo Zagreb (25. August 2015), die Niederlage 1-5 gegen den Sporting Clube de Portugal (22. Oktober 2015) und die Niederlage 0-3 gegen den FC Lokomotiv Moskau (10. Dezember 2015). Mit Entscheid vom 29. März 2018 sperrte die Kontroll-, Ethik- und Disziplinarkammer der UEFA den Klub für zehn Saisons von allen europäischen Wettbewerben und verhängte eine Busse von einer Million Euro. Die Berufungsinstanz bestätigte diesen Entscheid am 26. April 2018.
Auf Antrag des Klubs vom 14. Mai 2018 wies der CAS (Schiedsgericht mit drei Schiedsrichtern, Verfahren in englischer Sprache) die Berufung mit Schiedsspruch vom 12. Juli 2019 (CAS 2018/A/5734) ab. Im Verlauf des Verfahrens beschränkte das Schiedsgericht die Anhörungen auf schriftliche Zeugenaussagen und liess nur diejenigen Zeugen an die Verhandlung kommen, deren Kreuzverhör die Gegenpartei verlangte. Es liess zu, dass die UEFA nur Namen und Lebenslauf von vier Mitarbeitern von Sportradar offenlegte, da Angestellte Morddrohungen erhalten hatten. Ebenfalls bestätigt wurde die Verweigerung des Zugangs zu mathematischen Formeln, Algorithmen und Daten des BFDS, die als sensibel gelten und Sportradar gehören. Das Schiedsgericht erwog, dass das Verfahren in zwei Phasen (administrative Ausschliessung und anschliessende Disziplinarsanktion) den Grundsatz ne bis in idem nicht verletze, dass das BFDS zuverlässig sei, dass die UEFA im Grad der komfortablen Überzeugung nachgewiesen habe, dass die vier Spiele manipuliert worden seien, dass das Legalitätsprinzip eingehalten worden sei und dass die Sanktion verhältnismässig sei.
Der Klub erhob am 16. September 2019 Beschwerde in Zivilsachen beim Bundesgericht und beantragte die Aufhebung des Schiedsspruchs. Die UEFA beantragte die Abweisung. Der CAS beantragte die Abweisung der Beschwerde. Die Parteien reichten von sich aus eine Replik bzw. eine Duplik ein.
Erwägungen
Das Bundesgericht verfasst sein Urteil auf Französisch, der Sprache, die die Beschwerdeführerin in ihrer Beschwerde gewählt hat, gemäss Art. 54 Abs. 1 BGG (BGE 142 III 521 E. 1). Die Beschwerde in Zivilsachen gegen einen internationalen Schiedsspruch ist gemäss Art. 77 Abs. 1 lit. a BGG und Art. 190 bis 192 IPRG zulässig, da der Sitz des CAS in Lausanne liegt und eine der Parteien keinen Sitz in der Schweiz hat (Art. 176 Abs. 1 IPRG). Die Beschwerde kann nur aus den abschliessend in Art. 190 Abs. 2 IPRG aufgeführten Gründen erhoben werden, und die Rüge muss nach dem Grundsatz der Rügepflicht begründet werden (Art. 77 Abs. 3 BGG). Das Bundesgericht stützt sich auf die vom CAS festgestellten Tatsachen (Art. 105 Abs. 1 BGG), ohne volle Kognition, und kann die Beweiswürdigung nicht überprüfen.
Erster Rügegrund: Verletzung des prozessualen ordre public (Art. 190 Abs. 2 lit. e IPRG) durch Verletzung des Grundsatzes ne bis in idem. Das Bundesgericht lässt offen, ob dieser strafrechtliche Grundsatz auf das sportliche Disziplinarrecht anwendbar ist. Es erinnert daran, dass die erste Massnahme (administrative Ausschliessung, die die Integrität des Wettbewerbs schützen soll) und die zweite Massnahme (Disziplinarsanktion mit repressivem Charakter, mit Sperre und Busse) unterschiedliche Zwecke verfolgen, gemäss Urteil 4A_324/2014 betreffend einen türkischen Klub. Die Beschwerdeführerin kann diese Lösung nicht durch eine selektive semantische Analyse der Schiedssprüche beseitigen. Unter dem Gesichtspunkt der Identität des Sachverhalts (Urteil Zolotoukhine des EGMR) und der Wiederholung von Verfolgungen (Urteile A. und B. gegen Norwegen sowie Rivard gegen die Schweiz) besteht zwischen den beiden Phasen ein hinreichend enger sachlicher und zeitlicher Zusammenhang, um ein einheitliches System zu bilden: identische Spruchkörper, ausdrücklicher Vorbehalt einer späteren Disziplinarsanktion, unterschiedliche Regeln und Sanktionsskalen, Berücksichtigung der Ausschliessung bei der Disziplinarsanktion und rascher Ablauf. Die Rüge wird abgewiesen.
Zweiter Rügegrund: Verletzung des Anspruchs auf rechtliches Gehör (Art. 182 Abs. 3 und Art. 190 Abs. 2 lit. d IPRG), unterteilt in sechs Teilrügen. Die Mindestpflicht des Schiedsgerichts, die massgebenden Fragen zu prüfen, wird nur verletzt, wenn wesentliche Behauptungen, Beweismittel oder Beweisofferten übergangen werden, und es obliegt der geschädigten Partei darzutun, dass diese Elemente geeignet waren, den Ausgang des Streits zu beeinflussen (BGE 142 III 360 E. 4.1.1 und 4.1.3). (i) Die Verweigerung des Zugangs zu den Formeln und Daten des BFDS kann nicht beanstandet werden: Das CAS hat die Algorithmen als solche als nicht erheblich beurteilt, und die Beschwerdeführerin bestreitet die zusätzlichen Gründe der Vertraulichkeit und der Gefahr einer Umgehung nicht. (ii) Die Rüge der Waffengleichheit und des kontradiktorischen Verfahrens ist unbegründet: Der Bericht Forrest wurde von Sportradar und nicht von der UEFA in Auftrag gegeben, die Qualifizierung als Gutachten gehört zur Beweiswürdigung, und die Beschwerdeführerin verzichtete darauf, Prof. Forrest anhören zu lassen. (iii) Die Verweigerung eines gerichtlichen Gutachtens betrifft die antizipierte Beweiswürdigung, die nur bei einer äusserst eingeschränkten Verletzung des ordre public überprüft wird, die hier nicht geltend gemacht wird. (iv) Der Vergleich mit Software zur Aufdeckung von Steuerbetrug stellt keine unvorhersehbare Rechtsnorm dar und begründet keinen Überraschungseffekt. (v) Die Beweislastregeln gehören nicht zum materiellen ordre public (Art. 190 Abs. 2 lit. e IPRG, Urteil 4A_616/2016), und es…