Rechtsgrundlage für Auslagerung von Informatikdienstleistungen (Cloud/SaaS) im Kanton und in den Gemeinden
Postulat von Stephan Ackermann für die Ratssitzung am 10. Dezember 2025
In zahlreichen Kantonen – und zunehmend auch im Baselbiet – steigt der Druck, Informatikdienstleistungen auszulagern und Cloud- sowie SaaS-Lösungen einzusetzen. Unter SaaS („Software as a Service“) werden Anwendungen verstanden, die vollständig bei einer Anbieterin betrieben werden, welche sowohl die Infrastruktur als auch die Datenhaltung und den laufenden Betrieb verantwortet; das öffentliche Organ nutzt die Lösung in der Regel lediglich über das Netz.
Heute erfolgt die Beurteilung solcher Vorhaben im Kanton Basel-Landschaft weitgehend im Rahmen von Einzelfall-Risikoabwägungen durch die Exekutiven. Eine ausdrückliche, positivrechtliche gesetzliche Grundlage für die Auslagerung besonders sensitiver Daten in weitreichende Cloud- und SaaS-Umgebungen fehlt bislang.
Wie der kantonale Datenschutzbeauftragte ausführt, gehen insbesondere mit grossen SaaS-Lösungen erhebliche Risiken einher: starke Abhängigkeiten von einzelnen Anbieterinnen, faktischer Kontrollverlust bezüglich technischer und organisatorischer Massnahmen, komplexe Subunternehmerketten, häufige Release-Zyklen mit potenziellen Auswirkungen auf Sicherheitskonfigurationen, globale Vernetzung mit möglichen Datenübermittlungen in Staaten ohne angemessenes Datenschutzniveau sowie zusätzliche Risiken aufgrund extraterritorialer Zugriffsrechte (z.B. CLOUD Act). Zudem ist bei vielen SaaS-Angeboten heute eine echte Ende-zu-Ende-Verschlüsselung mit voller Schlüsselhoheit beim öffentlichen Organ gar nicht oder nur sehr eingeschränkt möglich.
Auch die Gemeinden im Baselbiet stehen unterzunehmendem Druck, ihre IT in die Cloud zu verlagern oder umfassende SaaS-Lösungen einzusetzen, verfügen aber häufig nicht über die Ressourcen, um die damit verbundenen rechtlichen und technischen Risiken im Detail zu beurteilen und zu steuern sowie die Daten bezüglich Vertraulichkeit zu klassieren.
Vor diesem Hintergrund ist zu klären, ob die bestehende Rechtslage im Kanton Basel-Landschaft angesichts der Eingriffsschwere solcher Auslagerungen noch genügt, oder ob – analog zu Bestrebungen in anderen Kantonen – eine ausdrückliche gesetzliche Grundlage zu schaffen ist, die Voraussetzungen, Schranken, Zuständigkeiten, Risiko-Migration und Unterstützungsangebote klar regelt. Das vorliegende Postulat soll der Regierung den Auftrag erteilen, diese Fragen systematisch zu prüfen und dem Landrat entsprechende Optionen aufzuzeigen.
Die Regierung wird beauftragt zu prüfen und zu berichten:
in einem Bericht darzulegen,
- wie und in welchem Umfang im Kanton Basel-Landschaft (kantonale Verwaltung, ausgelagerte Einheiten) und in den Gemeinden heute Informatikdienstleistungen ausgelagert und Cloud- bzw. SaaS-Lösungen eingesetzt werden,
- welche Arten von Daten (insbesondere gewöhnliche, aber auch besonders schützenswerte Personendaten sowie andere sensitive Daten) dabei bearbeitet werden,
- wie heute die Risikoabwägungen vorgenommen werden und sichergestellt wird, dass keine zu hohen oder nicht kalkulierbaren Risiken eingegangen werden.
zu prüfen und aufzuzeigen
- ob die bestehende Rechtsgrundlage zur Auslagerung angesichts der Eingriffsschwere– insbesondere bei umfassenden Bearbeitung von besonderen Personendaten und Daten, die einer besonderen Geheimhaltungspflicht unterstehen in Cloud- und SaaS-Lösungen anbieterinnenseitig – ausreicht oder ob eine ausdrückliche, positivrechtliche gesetzliche Grundlage notwendig ist,
- mit welchen Kriterien und Schranken (z.B. Datenlokation, internationale Datentransfers, Verschlüsselung und Schlüsselhoheit, Protokollierung, Audit- und Kontrollrechte, Notfallvorsorge, Exit-Strategien, Unterscheidung zwischen weniger sensitiven und besonders kritischen Anwendungen) die Auslagerung von Informatikdienstleistungen aus Sicht von Datenschutz, Geheimnisschutz, Informationssicherheit, kostengetriebener Anbieterabhängigkeit und staatlicher Souveränität zulässig sein soll;
darzulegen, welche Ergänzungen auf Gesetzes- oder Verordnungsstufe benötigt werden,
- um eine klare, zeitgemässe gesetzliche Grundlage für die Auslagerung von Informatikdienstleistungen zu schaffen,
- um die Zuständigkeiten und Kontrollkompetenzen von Exekutive und Parlament zu klären (einschliesslich allfälliger Genehmigungspflichten für weitreichende Auslagerungen besonders sensitiver Daten);
gemeinsam mit den Gemeinden abzuklären,
- welchen besonderen Unterstützungsbedarf die Gemeinden im Baselbiet im Bereich Outsourcing, Cloud und SaaS haben,
- mit welchen Massnahmen der Kanton die Gemeinden konkret unterstützen könnte (z.B. Leitfäden, Mindeststandards für Informationssicherheit, Musterverträge und Auftragsbearbeitungsverträge, geprüfte Rahmenverträge, Beratungs- und Auditangebote) und allfällige Synergien zu fördern.
