IT-Versorgung im Säuliamt: Eigenbetrieb, Outsourcing und kantonale Datenschutz-Kontrolle

Der «Anzeiger» hat sieben Säuliämter Gemeinden – Aeugst, Bonstetten, Hausen, Kappel, Knonau, Wettswil und die Stadt Affoltern – zu ihrer IT-Landschaft befragt. Die Antworten reichen von komplett eigener Server-Infrastruktur über reine Outsourcing-Modelle bis zu hybriden Konzepten und zeigen, wie unterschiedlich die digitale Verwaltung im Zürcher Säuliamt heute organisiert ist.

Beispielsweise in Hausen ist internes Personal zuständig, die Gemeinde verfügt über eigene Server-Infrastruktur (Inhouse-Lösung). Die Wartung und der Support werden durch eine externe Firma durchgeführt, wobei First-Level-Support durch den Leiter Finanzen erfolgt.

Bonstetten setzt auf Outsourcing bei einem bekannten Schweizer IT-Unternehmen. Für gewissen internen Support ist hier auch der Leiter Finanzen zuständig. Ausserdem ist eine separate 30-Prozent-Stelle ICT (Informations- und Kommunikationstechnologie) geplant, heisst es auf Anfrage.

In der Gemeinde Knonau sind sowohl Hard- als auch Software ausgelagert, bei einem bekannten Schweizer IT-Lösungsanbieter für die öffentliche Hand. Für die internen IT-Verantwortlichkeiten stehen zehn Stellenprozente zur Verfügung.

Etwas anders sieht es in der Stadt Affoltern aus. Im ICT-Bereich sind 200 Stellen-Prozent beschäftigt, die sowohl die Stadtverwaltung als auch Aussenstellen (Werkhof, Primarschule) betreuen. Die Hardware wird an einen Schweizer IT-Gesamtlösungs-Anbieter ausgelagert, während die Software von verschiedenen Anbietern stammt.

Notfallplan vorhanden

Sechs der sieben befragten Gemeinden verfügen bereits über einen Notfallplan für (Cyber-)Sicherheitsvorfälle; die genauen Inhalte werden aus Sicherheitsgründen nicht veröffentlicht.

Knonau befindet sich noch im Aufbau eines entsprechenden Plans. Der Notfallplan sollte bis im Frühling 2026 abgenommen sein, teilt die Gemeinde auf Nachfrage mit. Wer sicherstellt, dass die Gemeinden die geltenden Datenschutz- und Informationssicherheitsvorgaben einhalten, ist die kantonale Datenschutzbeauftragte (siehe Box). Im Kanton Zürich übernimmt diese Aufgabe seit Mai 2020 Dr. iur. Dominika Blonski, die zuvor bereits als juristische Mitarbeiterin und später als Leiterin der Abteilung Recht & Informationssicherheit tätig war. Auf ihrer offiziellen Seite fasst sie die Kernaufgabe so zusammen: «Unsere zentrale Aufgabe besteht im Schutz der persönlichen Daten und damit der Privatsphäre der Einwohnerinnen und Einwohner des Kantons Zürich.»

Datenschutzreviews durch die DSB

Die Datenschutzbeauftragte des Kantons Zürich (DSB) ist im Zürcher Säuliamt bereits tätig geworden. Im Herbst 2023 hat sie die Gemeinde Kappel 2023 schriftlich informiert, dass im Rahmen der Kontrolltätigkeit Reviews zu Datenschutz und Informationssicherheit durchzuführen seien. Kappel hat daraufhin, wie die Gemeinde angibt, die sogenannte Selbstdeklaration erfolgreich abgeschlossen.

Review versus Selbstdeklaration

Doch was genau ist der Unterschied zwischen einer Datenschutzreview und einer Selbstdeklaration? Der «Anzeiger» hat bei der Datenschützerin des Kantons Zürich (DSB) nachgefragt. Ein Datenschutzreview funktioniert wie ein Audit. Die DSB kontrolliert dabei die Umsetzung der rechtlichen, organisatorischen und technischen Anforderungen im Detail – anhand der eingereichten Unterlagen und vor Ort. Bei einer Selbstdeklaration hingegen stellt die DSB Dokumente beziehungsweise Anforderungen zur Verfügung. Eine Gemeinde kann diese dann ihren Gegebenheiten anpassen. Hierzu analysiert sie die Massnahmen, die notwendig sind, um die Anforderungen in den Bereichen Datenschutz und Informationssicherheit zu erreichen. Nach dem Umsetzen der Massnahmen schickt die Gemeinde eine Umsetzungsbestätigung. Anschliessend prüft die DSB die Dokumente mittels Stichproben, ob die wichtigsten Informationssicherheitsvorgaben vorhanden sind. Eine solche Selbstdeklaration hat nun die Gemeinde Kappel abgeschlossen. «Gemäss DSB sind alle Anforderungen vollumfänglich erfüllt», sagt Kappels Gemeindeschreiberin, Daniela Rieder, zum «Anzeiger». Der Betrieb der IT-Plattformen erfolge durch einen externen Anbieter, der auch für die Notfallpläne besorgt sei.

Auch andere Gemeinden hatten Besuch von der DSB. In Hausen wurde 2019 eine Review durchgeführt, die erfolgreich abgeschlossen werden konnte. «Die Review hat zu Hinweisen geführt, die eine Optimierung unserer IT-Architektur nach sich zogen», sagt Christoph Rohner, Gemeindeschreiber von Hausen. «Diese konnten anschliessend und in Zusammenarbeit mit dem DSB umgesetzt werden.»

Ob durch Review oder Selbstdeklaration – die befragten Gemeinden arbeiten daran, ihre IT-Systeme sicher und funktionsfähig zu halten. Die kantonale Datenschutzbeauftragte sorgt dabei für einheitliche Kontrollen und unterstützt die Gemeinden bei der Erfüllung ihrer Datenschutz- und Sicherheitsverpflichtungen.

Datenschutzbeauftragte des Kantons Zürichs (DSB)

Die DSB überwacht die Datenverarbeitung öffentlicher Verwaltungen, um die Privatsphäre der Einwohner zu schützen. Sie berät Behörden und Privatpersonen zu datenschutzrelevanten Projekten, bietet Aus- und Weiterbildungen im Bereich Datenschutz und Informationssicherheit an und vermittelt bei Konflikten zwischen Bürgern und Behörden. Die DSB wird vom Kantonsrat gewählt und arbeitet unabhängig.

www.datenschutz.ch