Viele Verwaltungen und Schulen arbeiten mit Microsoft 365, auch in Stadtbergen. Microsoft selbst hat eingeräumt, dass US-Behörden über den US CLOUD Act auf Daten zugreifen können – selbst wenn die Server in Europa stehen. Den Maßstab für einen besseren Umgang damit hat die Verwaltung schon selbst formuliert: In ihrer Satzungsvorlage zu digitalen Sitzungen empfiehlt sie Dienste, die in der EU betrieben werden. Laurenz Mair hat Fragen ausgearbeitet, die in eine Anfrage an die Stadtverwaltung münden könnten. Uns geht es nicht um Misstrauen gegenüber der Verwaltung. Wir wollen, dass Stadtbergen diesen Maßstab überall anwendet – und selbst entscheiden kann, wem es seine Daten anvertraut.
Der Begriff klingt sperrig, die Idee dahinter ist einfach: Wir wollen selbst bestimmen, welche digitalen Werkzeuge wir nutzen. Dabei wollen wir nicht von einzelnen Anbietern oder fremden Rechtsordnungen abhängig sein. Es geht nicht darum, alles selbst zu bauen. Es geht um Wahlfreiheit: Abhängigkeiten bewusst eingehen und sie bei Bedarf auch wieder lösen können.
Warum das gerade jetzt wichtig ist
Der US CLOUD Act verpflichtet amerikanische Anbieter, US-Behörden auf Anforderung Daten herauszugeben. Wo die Rechenzentren stehen, spielt dabei keine Rolle. Im Juni 2025 hat der Rechtsdirektor von Microsoft Frankreich vor dem französischen Senat erklärt, er könne nicht garantieren, dass Daten europäischer Kunden nicht an US-Behörden gehen. Das steht im Widerspruch zur Datenschutz-Grundverordnung, insbesondere zu Art. 48 DSGVO. Für öffentliche Stellen ist das keine theoretische Frage – sie verarbeiten täglich sensible Daten: Meldedaten, Sozialleistungen, Schülerdaten.
Die Stadt hat den Maßstab selbst gesetzt
Bemerkenswert ist: Die Verwaltung sieht das Problem selbst. In der Begründung ihrer Satzungsvorlage zur digitalen Teilnahme an Stadtratssitzungen heißt es, neben der Hardware seien „datenschutzkonforme Softwarelösungen erforderlich“. Mit Verweis auf die Hinweise des Bayerischen Innenministeriums (Schreiben vom 29.04.2021) leitet sie daraus ab, dass für die Technik nur Dienste eingesetzt werden sollten, die innerhalb der EU betrieben werden. Das Landesamt für Sicherheit in der Informationstechnik geht laut Vorlage noch einen Schritt weiter: Es empfiehlt Lösungen, bei denen Video- und Audiodaten auf Servern in eigener Verantwortung und mit eigenem Personal verarbeitet werden.
Hinzu kommt eine ganz praktische Frage: In nichtöffentlichen Sitzungen könnten sich Dritte im Raum eines zugeschalteten Ratsmitglieds aufhalten. Auch das wäre ein Datenschutzverstoß. Digitale Beratung braucht deshalb klare Regeln, nicht nur gute Technik.
Wir finden diesen Maßstab richtig. Gerade deshalb liegt die Frage nahe: Wenn er für Videokonferenzen des Stadtrats gilt – warum dann nicht auch für E-Mails, Dokumente und Schülerdaten in der Cloud?
Fragen, die eine Anfrage klären könnte
Laurenz Mair hat dazu fünf Fragen ausgearbeitet. Sie könnten die Grundlage für eine Anfrage an die Verwaltung bilden:
- In welchem Umfang nutzt die Stadt Microsoft 365, auch an den Schulen?
- Wie wird sichergestellt, dass keine Daten unzulässig an US-Behörden fließen?
- Werden Daten vor dem Hochladen in die Cloud verschlüsselt oder pseudonymisiert?
- Gibt es einen aktuellen Auftragsverarbeitungsvertrag (AVV) – also einen Vertrag nach Art. 28 DSGVO, der regelt, was der Anbieter mit den Daten der Stadt tun darf und was nicht? Und liegt eine Datenschutz-Folgenabschätzung (DSFA) vor, mit der die Stadt die Risiken für die Betroffenen bewertet hat?
- Prüft die Stadt datenschutzkonforme oder quelloffene Alternativen, etwa openDesk oder europäische Cloud-Anbieter?
Ein solcher Vertrag ist Pflicht – er kann aber ein US-Gesetz wie den CLOUD Act nicht aushebeln. Deshalb braucht es beides: saubere Verträge und eine ehrliche Antwort auf Frage 2.
Andere sind schon unterwegs
Pionierarbeit müssten wir dabei nicht leisten. Schleswig-Holstein stellt seine Landesverwaltung Schritt für Schritt auf Open-Source-Software um, und Hamburg plant den Umstieg auf openDesk. openDesk ist ein Arbeitsplatzpaket, das das Zentrum für Digitale Souveränität (ZenDiS) im Auftrag des Bundes entwickelt. Diese Erfahrungen kann auch eine Stadt wie Stadtbergen nutzen – ohne sofort alles umzustellen.
Unser Weg: Schritt für Schritt statt Schwarz-Weiß
Wir halten nichts von Schnellschüssen. Ein überstürzter Ausstieg wäre genauso falsch wie ein bequemes „Weiter so“. Am Anfang steht eine ehrliche Bestandsaufnahme: Wo liegen welche Daten, welche Verträge gibt es, wo sind wir abhängig? Danach lässt sich in Ruhe entscheiden, was sinnvoll ist. Ein guter Anfang wäre, Souveränität bei jeder neuen Beschaffung als Kriterium mitzudenken – so, wie es die Verwaltung für die Sitzungstechnik bereits vorschlägt.
Ein Thema für alle
Datenschutz ist keine Frage von links oder rechts. Er schützt die Bürgerinnen und Bürger, die Schülerinnen und Schüler und auch die Beschäftigten der Verwaltung. Wir laden dazu ein, gemeinsam darüber nachzudenken – im Ortsverein, im Stadtrat und mit allen, die sich dafür interessieren. Ihre Meinung und Ihre Fragen sind willkommen.
SPD Stadtbergen
info@spd-stadtbergen.de
Hinweis: Bei der Recherche und Formulierung dieses Beitrags hat uns eine KI unterstützt.
