Die Einführung von Microsoft 365 in der Verwaltung des Kantons Luzern treibt seit Monaten die Politikerinnen und Politiker um. In mehreren Vorstössen wird die Regierung aufgefordert, das Vorhaben zu überdenken und Alternativen zu prüfen. Parallel befassen sich die Finanzkontrolle und die Staatspolitische Kommission mit dem Projekt.

Der seit Anfang Mai amtierenden kantonalen Datenschutzbeauftragten Natascha Ofner-Venetz ist es offenbar ein Anliegen, ihren Standpunkt in der Diskussion zu betonen. Sie folgt dabei ihrem Vorgänger Matthias Schönbächler, der sich mehrheitlich kritisch zu dem Komplex geäussert hatte.

Wie es nun seitens Ofner-Venetz heisst, sei, Stand heute, der Einsatz von M365 zur Bearbeitung besonders schützenswerter Personendaten nicht zulässig. Der Grund sei, dass die geltenden gesetzlichen Bestimmungen nicht ausreichten, um Datenbearbeitung in der Cloud zu legitimieren. Zudem würde die Verwaltung die Kontrolle über die Datenbearbeitung verlieren, was mit den datenschutzrechtlichen Anforderungen ebenfalls nicht vereinbar sei.

Als besonders problematisch erachtet die Datenschützerin die rechtliche Lage bei der Verarbeitung von Daten, die einer gesetzlichen Geheimhaltungspflicht unterliegen. Denn Microsoft könne mangels funktionaler, organisatorischer und persönlicher Eingliederung in die Verwaltung nicht als strafrechtlich privilegierte Hilfsperson anerkannt werden. Eine Datenbearbeitung mit M365 stelle daher ein strafrechtlich relevantes Offenbaren dar, welches weder durch Datenschutzverträge noch durch technische Schutzmassnahmen gerechtfertigt werden könne, hält Ofner-Venetz fest.

Neben den datenschutzrechtlichen Bedenken meldet die Juristin auch ihre Besorgnis wegen dem möglichen Verlust der digitalen Souveränität öffentlicher Institutionen an. Die Nutzung von M365 bedeute eine einseitige Abhängigkeit von einem privatwirtschaftlichen Anbieter, bei dem weder eine vertragliche Steuerung auf Augenhöhe noch ein verlässlicher Rückzug möglich sei.

Jedoch fordere die Strategie "Digitale Verwaltung Schweiz 2024-2027" ausdrücklich die Wahrung digitaler Souveränität. Nach Ansicht von Ofner-Venetz könne dieses Ziel nicht erreicht werden, wenn zentrale Verwaltungsfunktionen vollständig auf externe, extraterritorial regulierte Anbieter ausgelagert werden.

Die Datenschutzbeauftragte schliesst ihre Stellungnahme mit der Empfehlung, den Einsatz von M365 differenziert zu prüfen. Vor der Einführung seien datenschutzrechtliche Risiken umfassend zu bewerten und alternative Lösungen aktiv zu prüfen. Ferner solle die digitale Selbstbestimmung als strategisches Ziel institutionell verankert werden. Dabei wolle Ofner-Venetz den Verwaltungen gerne zur Hand gehen, schreibt sie.