Anfrage der Ratsfraktion Die Linke: Sicherheit der kommunalen Bürger*innendaten bei der Nutzung von Software aus Nicht-EU-Staaten

ADIG/042/2026 X öffentlich nicht öffentlich Düsseldorf, 21.08.2026 An den Vorsitzenden des Ausschusses für Digitalisierung, Personal und Organisation Stephan Speit Anfrage der Ratsfraktion Die Linke Düsseldorf zur Sitzung des Ausschusses für Digitalisierung, Personal und Organisation am 03.09.2026 Betrifft: Anfrage der Ratsfraktion Die Linke: Sicherheit der kommunalen Bürger*innendaten bei der Nutzung von Software aus Nicht-EU-Staaten Sehr geehrter Herr Vorsitzender, zur Sitzung des Ausschusses für Digitalisierung, Personal und Organisation am 03. September 2026 stellt Die Linke Ratsfraktion Düsseldorf folgende Anfrage: Die städtische Verwaltung verarbeitet zur Erfüllung ihrer öffentlichen Aufgaben täglich hochsensible Daten der Düsseldorfer Einwohner*innen. Hierzu gehören unter anderem Meldedaten, Steuer- und Finanzdaten, Sozial- und Jugendamtsakten sowie vertrauliche Personaldaten der städtischen Angestellten. Für die tägliche Arbeit nutzt die Verwaltung maßgeblich Betriebssysteme und Cloud-Dienste ausländischer Anbieter, insbesondere Microsoft Windows, Microsoft 365 (ehemals Office 365) und Microsoft Teams sowie weitere Software aus Nicht-EU-Staaten. Aus Sicht des Datenschutzes und der Cybersicherheit birgt diese digitale Infrastruktur erhebliche Risiken für die kommunale Datensouveränität:  Die Position der deutschen Datenschutzkonferenz (DSK): Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder hat in ihrer umfassenden Prüfung 2022 festgestellt, dass der Nachweis einer datenschutz- rechtskonformen Nutzung von Microsoft 365 auf Basis der Standardverträge nicht erbracht werden kann. Die DSK rügte insbesondere die Intransparenz bezüglich der von Microsoft für eigene Zwecke erhobenen Daten. 1 Der Hessische Beauftragte für Datenschutz und Informationsfreiheit betont, dass Office 365 nur in einer angepassten Form datenschutzkonform ist. 2  Die Rüge des Europäischen Datenschutzbeauftragten (EDSB): Der EDSB stellte im Rahmen einer langjährigen Untersuchung (u. a. beim Einsatz von Microsoft 365 durch die EU-Kommission) erhebliche Verstöße gegen die Datenschutzvorschriften fest. Zwar wurden seither vertragliche und technische Nachbesserungen (wie die ) verhandelt, die Nutzung erfordert jedoch weiterhin tiefgreifende, einzelfallbezogene Zusatzkonfigurationen und Kontrollen durch die jeweilige Behörde. Ein pauschaler Freibrief für die Cloud- Nutzung existiert nicht. 3, 4  Der US CLOUD Act: Dieses US-Gesetz verpflichtet amerikanische IT-Konzerne dazu, US-Behörden auch dann Zugriff auf gespeicherte Daten zu gewähren, wenn sich die physischen Server in Europa befinden. Selbst führende Tech- Konzerne räumten in parlamentarischen Anhörungen ein, dass eine Datenoffen- legung auf Anordnung der US-Regierung ohne Zustimmung der europäischen Verantwortlichen rechtlich nicht vollständig ausgeschlossen werden kann.5  Mögliche Abschaltung von Software oder Clouds: Die US-Regierung hat im Juni 2026 den KI-Entwickler Anthropic angewiesen, den weltweiten und inländi- schen Zugang zu den fortschrittlichen KI-Modellen „Fable 5" und „Mythos 5" für Ausländer zu sperren. Das Handelsministerium berief sich dabei auf nationale Sicherheitsbedenken und die Gefahr eines Missbrauchs als Cyberwaffe.6 Der Vorfall zeigt, wie verletzlich die digitale Infrastruktur anderer Länder ist, die stark auf US-Technologie setzen. Sollte es durch die unzureichend konfigurierte Nutzung dieser Systeme zu unzulässigen Datenübermittlungen in Drittstaaten kommen, drohen erhebliche haftungsrechtliche und finanzielle Konsequenzen für den kommunalen Haushalt. Die Linke Ratsfraktion Düsseldorf fragt an: 1.Welche technischen, organisatorischen und vertraglichen Zusatzmaß- nahmen (z. B. eigene Verschlüsselung mit exklusiver Schlüsselgewalt, Deaktivierung intransparenter Hintergrunddienste, Unterbindung des Abflusses von Telemetriedaten) hat die städtische IT-Abteilung (bzw. ITK- Rheinland) vorgenommen, um den strengen datenschutzrechtlichen Kernforderungen der Datenschutzkonferenz (DSK) und den Erkenntnissen des EDSB-Verfahrens beim Einsatz von Microsoft-Produkten (Windows, Microsoft 365, Teams) in der Düsseldorfer Stadtverwaltung vollumfänglich gerecht zu werden? 2.Ist die Stadtverwaltung, die ITK-Rheinland haftbar oder wer trägt im Falle einer rechtswidrigen Datenübermittlung in Drittstaaten (z. B. unbefugte Datenzugriffe unter dem US Cloud Act) oder bei einem sonstigen datenschutzrechtlichen Schadensfall das rechtliche und finanzielle Haftungsrisiko (inklusive potenzieller Schadensersatzforderungen betroffener Bürger gemäß Art. 82 DSGVO)? 3.Welche Notfallpläne und langfristigen Migrationsstrategien verfolgt die Verwaltung, um den Schutz sensibler Bürgerdaten unabhängig von US- amerikanischen Cloud-Anbietern zu gewährleisten? Mit freundlichen Grüßen Chris DemmerMarcel KieferLuca Meyer f.d.R. Christian Jäger Seite 2 1https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DSK/DSKBeschluessePositionsp apiere/104DSK-Festlegung-Microsoft-Onlinedienste.pdf?__blob=publicationFile&v=2 2 https://datenschutz.hessen.de/presse/hbdi-microsoft-365-kann-datenschutzkonform- genutzt-werden 3 https://www.edps.europa.eu/system/files/2025-07/2025-07-28_Press- Release_EDPS_Microsoft_EC_in_compliance_EN.pdf 4 https://www.dids.de/microsoft-365-jetzt-doch-datenschutzkonform/ 5https://www.itmagazine.ch/artikel/85137/Unter_Eid_Microsoft_kann_Schutz_vor_Cloud _Act_nicht_garantieren.html 6 https://www.deutschlandfunk.de/anthropic-fable-ki-shutdown-usa-trump-100.html Seite 3