Annegret Hebeisen-Christen · SVP
Der Bericht zeigt in der Breite eindrucksvoll auf, wo es darum geht, die Grundsätze des Datenschutzes auf die vielen verschiedenen Fragestellungen im Behördenalltag anzuwenden. Ein paar Beispiele: Verfügt die Universität über eine genügende gesetzliche Grundlage für die Veröffentlichung früherer Jahrgänge des bernischen Staatskalenders im Internet? Inwieweit kann die Kantonsverwaltung das System der künstlichen Intelligenz, also der KI-Systeme, datenschutzkonform einsetzen? Dürfen Dritte im Internet bzw. mittels SMS-Anfrage erfahren, wer Eigentümerin oder Eigentümer eines Grundstücks bzw. Halterin oder Halter eines Fahrzeugs ist? Und noch ein weiteres Beispiel: Wie kann es passieren, dass eine ausserkantonal wohnhafte Person von der Steuerverwaltung Bern eine Mail mit der Eingangsbestätigung für die Steuererklärung bekommt, die sie gar nie eingereicht hat?
Das sind ein paar Fragen, mit denen sich die Datenschutzaufsichtsstelle auseinandersetzen musste. Eben mit diesen und weiteren Fragen hat sie sich auseinandergesetzt, und das unter der Leitung von Ueli Buri, dem obersten Datenschützer im Kanton.
Als Schwerpunktthema im Jahr 2023 lese ich aus dem Bericht aber klar heraus, dass die kantonale Datenschutzaufsichtsstelle mit zahlreichen Geschäften sowohl aus der Kantonsverwaltung wie auch von den dezentralen Auftraggebern zu Cloud-Nutzungen befragt worden ist. So zitiere ich den Anfang des Vorworts im aktuellen Bericht von Ueli Buri wie folgt: «Im Jahr 1974 – also genau vor 50 Jahren – sang der deutsche Liedermacher Reinhard Mey den Text ‹Über den Wolken muss die Freiheit wohl grenzenlos sein›. Was damals noch wörtlich zu verstehen war, wirkt heute unvermindert – wenn auch im übertragenen Sinn – als grosse Versuchung bei der digitalen Transformation der Verwaltung.»
Bereits vor einem Jahr habe ich für Sie in meinem Votum hier im Rat zur Veranschaulichung der Beratungs- und Aufsichtsaufgaben der DSA das Beispiel «Die Nutzung von Cloud-Services durch kantonale Behörden» herausgegriffen. Die Auslagerung von Datenbearbeitungen in die Cloud verspricht nämlich viele Möglichkeiten. So ist gemäss dem Bericht insbesondere auch die Einführung von Diensten aus der Produktepalette von Microsoft 365 ein wiederkehrendes Thema. Was die Kantonsverwaltung betrifft, seien dem Regierungsrat die Restrisiken der geplanten Nutzung zur Kenntnis gebracht und von diesem auch akzeptiert worden.
Auch die Universität Bern und die Insel-Gruppe haben der DSA Pläne zu einer Einführung von Microsoft 365 vorgelegt. Die DSA weist in ihrem Bericht darauf hin, dass der Kontrollverlust der in der Schweiz angebotenen Online-Dienste sehr viel geringer ist, wie bspw. die Prüfung der Plattform E-Mitwirkung gezeigt hat. Dort haben offenbar Empfehlungen der DSA bewirkt, dass der Anbieter technische und organisatorische Änderungen an seinem Dienst vorgenommen hat.
Namentlich gerade bei internationalen Cloud-Anbietern mit weitestgehend standardisierten Leistungsangeboten verlieren die Behörden die tatsächliche Kontrolle darüber, welche Daten wo zu welchem Zweck bearbeitet werden und wer alles Einsicht in diese nehmen kann. Entsprechend hoch sind aus unserer Sicht oder eben auch aus Sicht des Datenschützers die Risiken für die Vertraulichkeit dieser Daten, erst recht falls der Cloud-Anbieter wegen seines Bezugs zum Ausland verpflichtet werden kann, Daten an fremde Behörden herauszugeben. Es liegt auf der Hand, dass genau dieses Thema immer weitere Fragen aufwerfen wird und dass der DSA offensichtlich die Arbeit vor allem in diesem Bereich, aber auch ganz grundsätzlich nicht ausgehen wird.
An dieser Stelle möchte ich als Mitglied der GPK, aber auch im Namen der ganzen GPK dem Team der DSA für ihre grosse und wertvolle Arbeit herzlich danken. Wie bereits erwähnt: Die GPK beantragt dem Grossen Rat einstimmig, den vorliegenden Bericht zur Kenntnis zu nehmen.