Michael Burkard · Grüne Freie Liste

Michael Burkard (GFL) für die Fraktion: Dem Dank an die Fachstelle Datenschutz und der Aufsichtsstelle Datenschutz kann ich mich anschliessen – vielen Dank für Ihre Arbeit – auch der GPK für die Begleitung dieser Arbeit und der Begleitung der Fachstelle insgesamt und beim Aufbau der Fachstelle. Es war ein wichtiger Schritt. Zuerst die Loslösung von der Ombudsstelle und dann die Verselbstständigung und das Aufstellen eines eigenen Teams und die Zusammenarbeit mit der GBK, die essentiell ist, damit die Fachstelle operieren und ihre Arbeit innerhalb der Stadtverwaltung wahrnehmen kann. Ich möchte nur 3 Punkte herausgreifen aus diesem sehr interessanten Bericht und eine Schlussfolgerung ableiten für die Arbeit des Stadtrats. Im Bericht wird mehrmals darauf hingewiesen, dass der Datenschutz bereits bei der Beschaffung von Informatikprojekten mitgedacht werden muss. Und ich denke, man müsste unbedingt mitnehmen, dass das implementiert wird – in der Verwaltung, aber auch im Rat, wenn es darum geht, bei Fachkommissionen Informatikprojekte zu beschaffen, Software. Wir sollten bei deren Beschaffung bereits den Datenschutz mitdenken und darauf achten, wo und was eingekauft wird, damit Systeme eingekauft werden, die die Datenschutzkonformität garantieren können.

Und das ist bereits der zweite Punkt – Datenverarbeitung: Es wird an mehreren Punkten im Bericht darauf hingewiesen, dass die Problematik besteht, wo die Daten verarbeitet werden, dass wir das Augenmerk darauf richten müssen, insbesondere, wenn die Subunternehmer*innen im Ausland sind. Gerade in den USA kann das problematisch sein. Es ist wichtig, dass mitbedacht wird, wo die Daten verarbeitet werden, das heisst, dass es nicht einfach mit der Beschaffung erledigt ist – und dann: "Ja, es klingt gut, es ist alles fancy, wir können alle Anwendungen haben." Damit ist das nicht gemacht. Also die Beschaffung, die Datenverarbeitung: Wo wird das gemacht? Der letzte Punkt ist, und dort wird dringender Handlungsbedarf signalisiert, Microsoft 365 und die ganze Thematik, die damit verbunden ist mit den Updates von Microsoft, in die jetzt immer mehr KI-Applikationen eingebaut sind. Dort ist auf Seite 31 ff. diese Problematik beschrieben. Und die Fachstelle sagt relativ optimistisch, sie werde das begleiten und schauen, dass der Datenschutz auch im Betrieb sichergestellt ist. Bei der Grösse der Verwaltung einerseits und dem doch bescheidenen Umfang der Fachstelle andererseits fragt man sich, wie sie das tun will. Und ich denke: Es geht nicht, diese Aufgabe allein der Fachstelle zu überlassen. Hier müssen der Stadtrat, aber auch die Verwaltung kooperativ mitwirken, damit diese Implementierung von 365 Microsoft und dieser Risikoentscheid des Gemeinderates, der statisch betrachtet gut aussieht – man hat einerseits die allgemeine Bürokommunikation, die kann in der Cloud irgendwas tun, das ist uns egal, aber die besonders schützenswerten Personendaten schützen wir dann auf Fachapplikationen. Das klingt statisch betrachtet gut. Aber wenn man bedenkt, dass jede Person in der Stadtverwaltung immer diesen Grundsätzen nachleben müsste, und wenn man bedenkt, dass Microsoft laufend neue Updates macht, mit KI-generierten Folgeschritten, wie dann diese Implementierung Tag für Tag in der Stadtverwaltung vonstattengehen soll, fragt man sich, wie das ohne einen konzentrierten Effort von der Verwaltung, von der Fachstelle, die ist sowieso natürlich dabei, aber auch vom Stadtrat geht, der bei diesen Informatikgeschäften mehr Sorgfalt walten lassen sollte oder mehr Augenmerk auf die Datensicherheit und den Datenschutz richten sollte. Hier meine Empfehlung oder meine Konklusion für den Stadtrat bei Informatikgeschäften: Im Vortrag muss der Datenschutz zwingend erwähnt werden. Es muss bereits bei der Beschaffung erwähnt werden, ob man darauf geachtet hat. Es muss ein Wort darüber verloren werden oder es muss beschrieben werden, wo die Daten verarbeitet werden. Wie wird dem Risikoentscheid des Gemeinderates nachgelebt bei der Umsetzung und im Betrieb, wie wird das garantiert? Und deshalb müssen die Fachkommissionen, das kann man nicht der GPK überlassen, in ihre DNA implementieren, dass sie das bei jedem Informatikgeschäft nachfragen. Und wenn es nicht im Vortrag ist, obwohl es hineingehört, wird das Geschäft verschoben und man kontaktiert die Fachstelle, wenn man von der Verwaltung keine Antworten hat. Und das stellt sicher, dass diese Punkte, die im Bericht insbesondere auf Seite 31 ff. beschrieben sind, implementiert werden. In diesem Sinne: Kein Vortrag mehr, ohne den Datenschutz zu berücksichtigen. Vielen Dank.