Neben dem Regierungsrat des Kantons muss sich auch der Stadtrat von Luzern mit dem Einsatz von Microsoft 365 in der Verwaltung beschäftigen. Die Stadt wechselte ab 2021 von Office 2016 auf M365 und startete das Projekt "Azzurro" zum Roll-out der neuen Cloud-Anwendungen. Im vergangenen Juni wurde dann im Grossen Stadtrat eine Interpellation mit Fragen zum Projekt eingereicht, unter anderem zu "Konsequenzen aus dem Bericht des kantonalen Datenschutzbeauftragten (DSB)".

Adrian Häfliger und Monika Weder (beide Grüne) kritisierten im Vorstoss: "Gemäss DSB wird mit der Einführung von M365 die Abhängigkeit von Microsoft zementiert. Dem Kanton Luzern droht ein Verlust der digitalen Souveränität." Sie fragten, ob der Stadtrat vom Bericht des DSB und dessen Einschätzungen zur Verwendung von M365 Kenntnis genommen habe. Dabei bezogen sie sich auf den Tätigkeitsbericht des damaligen Datenschützers Matthias Schönbächler aus dem Jahr 2024. Dieser hielt darin fest, "dass sich die Verwaltung des Kantons Luzern mit der breiten Einführung und Nutzung von M365 in eine Abhängigkeit von noch nie dagewesenem Ausmass begibt".

In ihrer Antwort verteidigt die Stadtregierung jetzt erneut die M365-Einführung: "Für Verwaltungen in der Schweiz bietet der Markt heute keine vergleichbaren Alternativen zu M365. Es ist vertraut, sicher, weit verbreitet und eng mit vielen Fachanwendungen verknüpft." Ein Wechsel auf andere Systeme sei zwar technisch möglich, aber mit grossem Aufwand und hohen Kosten verbunden. Die Stadt Luzern habe sich "bewusst dafür entschieden, auf Cloud-Services zu setzen und insbesondere auf M365 zu wechseln".

Gleichzeitig mit der Antwort publizierte der Stadtrat die ausführliche "Stellungnahme DSB zum Vorhaben Azzurro 2.0 der Stadt Luzern" der neuen kantonalen Datenschützerin Natascha Ofner-Venetz vom Juli 2025. Diese hatte ihre Kritik am Vorhaben im Herbst öffentlich geäussert, die sich nun detailliert nachlesen lässt. "Aus heutiger Sicht ist der Einsatz von M365 zur Bearbeitung von sensitiven Personendaten nicht zulässig", so Ofner-Venetz. Es fehle an einer hinreichend bestimmten gesetzlichen Grundlage, wie sie für schwerwiegende Eingriffe in die informationelle Selbstbestimmung zwingend erforderlich sei.

"Die DSB erachtet die Nutzung von M365 zur Bearbeitung von besonders schützenswerten Personendaten und Daten unter einem gesetzlichen Geheimnisschutz durch die Stadt Luzern als unzulässig, sofern die Daten nicht vom verantwortlichen Organ selbst verschlüsselt werden und Microsoft keinen Zugang zum Schlüssel hat", schreibt Ofner-Venetz. Sie empfehle der Stadt Luzern deshalb, besonders schützenswerte Personendaten sowie Daten, die einer gesetzlichen Geheimhaltungspflicht unterliegen, konsequent zu klassifizieren und deren Bearbeitung mit M365 zu unterlassen.

Ausserdem empfehle sie, alternative Szenarien zu prüfen, "die eine Bearbeitung sensitiver Personendaten innerhalb der eigenen Infrastruktur (On-Premises) oder mit Lösungen ermöglichen, die keinem extraterritorialen Rechtszugriff unterliegen". Dabei seien sowohl hybride Ansätze als auch Verschlüsselungslösungen zu evaluieren, bei denen der Schlüssel ausschliesslich in der Hoheit des verantwortlichen Organs verbleibe. "Bis zum Vorliegen einer solchen Analyse ist von einer Ausweitung der Nutzung von M365 – insbesondere auf sensitive Anwendungsbereiche – abzusehen", verlangt die Datenschutzbeauftragte.

Wie die Stadtregierung schreibt, habe sie zum Schutz von sensiblen Daten und um die datenschutzrechtlichen Risiken zu minimieren, "umfangreiche vertragliche, organisatorische und technische Massnahmen" ergriffen. Sämtliche relevanten Fragestellungen zum Datenschutz seien frühzeitig identifiziert und im Rahmen von Konsultationen und Arbeitstreffen mit der kantonalen Datenschutzbeauftragten thematisiert worden.

"Die Stadtregierung stützt sich dabei auf Rechtsgutachten, etablierte Normen und einschlägige Praxisleitfäden. Nach vollständiger Umsetzung dieser Massnahmen können auch vertrauliche Daten in Cloud-Services bearbeitet werden." Geschäftsrelevante Daten würden weiterhin in den Fachapplikationen und im dafür vorgesehenen Geschäftsverwaltungssystem gespeichert.

Für die Nutzung von M365 sei eine Datenschutz-Folgenabschätzung durchgeführt worden. "Diese hat ergeben, dass mit der Umsetzung von 'Basisschutz Cloud+' zusammen mit den rechtlichen und vertraglichen Massnahmen die Risiken für betroffene Personen angemessen adressiert werden können", hält der Stadtrat in seiner Antwort auf die Interpellation fest. Sowohl die Datensouveränität wie auch die Erarbeitung von Ausstiegsszenarien seien integraler Bestandteil der stadtinternen und verbindlich einzuhaltenden Vorgaben für alle Projekte, welche die Nutzung eines Cloud-Services beinhalten, nicht nur für M365.

Die aktuelle IT-Strategie von Luzern sehe jedoch keinen Rückzug aus M365 oder anderen Cloud-Services vor. "Eine sogenannte Exit-Strategie besteht demzufolge nicht", betont die Regierung. Unabhängig davon werde die Stadt Luzern für ihre M365-Umgebung aber die Datensouveränität sicherstellen und Ausstiegsszenarien erarbeiten.

Interpellant Adrian Häfliger gibt sich mit der Antwort nicht zufrieden. "Um den Einsatz von M365 zu verteidigen, führt die Stadt einmal mehr aus, dass die Daten ausschliesslich innerhalb der EU/EFTA bearbeitet und in der Schweiz gespeichert werden, dass umfassende Kontrollrechte gegenüber Microsoft bestehen und dass der Gerichtsstand Schweiz ist", schreibt er auf Linkedin. "Das ist alles schön und gut, nur wissen wir: Das alles ist kein Schutz gegenüber der Risiken, welche von der Datenschutzbeauftragten genannt werden." Er sei deshalb gespannt auf die Diskussion im Grossen Stadtrat. Dort ist das Thema für eine der nächsten Sitzungen traktandiert.