Geltung: Wie spätere Gerichte diesen Entscheid behandelt haben, wurde nicht ausgewertet.

RRB Nr. 1300/2023

Anfrage Beat Hauser, Rafz, Martin Huber, Neftenbach, und Davide Loss, Thalwil, betreffend Öffentlicher Verkehr im Kanton Zürich, Beantwortung

Rubrum

Auszug aus dem Protokoll des Regierungsrates des Kantons Zürich KR-Nr. 293/2023

Sitzung vom 15. November 2023

1300. Anfrage (Öffentlicher Verkehr im Kanton Zürich ZVV) Die Kantonsräte Beat Hauser, Rafz, Martin Huber, Neftenbach, und Davide Loss, Thalwil, haben am 28. August 2023 folgende Anfrage eingereicht: In der letzten Zeit haben Cyberkriminelle vermehrt auch öffentliche Institutionen ins Visier genommen, wie zum Bespiel die SBB und den Bund. Somit ist es nur eine Frage der Zeit, dass auch der ZVV Opfer eines solchen Angriffs wird. Gemäss Medienberichten verkauft der ZVV 70% und mehr Billette online. Er baut die besetzten Bahnhöfe ab, reduziert die Ticketautomaten und setzt sich im Zusammenschluss des Verbands öffentlichen Verkehrs für IT-Lösungen ein. Die Bussen werden ebenfalls auf Minuten genau erstellt, obwohl die Services nicht 7 × 24 Stunden verfügbar sind. Die entsprechenden Unterbrüche der Telecom-Betreiber sowie die Verfügbarkeit der SBB/ZVV IT- Services müssen seitens des Dienstleisters gewährleistet werden. Deshalb die nachfolgenden Fragen Fragen zum Datenschutz:

Erwägungen

1. Wie sicher sind die Daten der ZVV-Kunden, da diese ja auch für Kriminelle sehr interessant sind u. a. Bewegungsdaten, Bankkonti, Kreditkarten,

2. Welche Strategie verfolgt der ZVV im Bereich IT-Security, wenn sogar der Swisspass mit Fake Mails verifiziert werden soll? Frage zur Verfügbarkeit:

3. Wie stellt der ZVV die Servicezeiten 7 × 24 Stunden zu 99% sicher?

4. Wie geht der ZVV mit Kunden um, die aus technischen Gründen, wegen nicht verfügbarer Systeme, überlasteter Telecom-Netze, keine Tickets rechtzeitig kaufen konnten.

5. Wie informiert der ZVV seine Kontrolleure über Störungen der IT- Systeme, um Kundenärger aufgrund nicht verfügbarer Systeme des Anbieters zu schützen (IT-ZVV, Telecom-Anbieter [Grossausfälle der Swisscom als Beispiel])?

6. Da der ZVV über 70% seiner Tickets über Online-Kanäle verkauft und in Zukunft alle Tickets über Online-Kanäle vertreiben will, müsste die Beweislast, dass der Kunde sein Ticket nicht ordnungsgemäss kaufen konnte, zum Betreiber der Dienstleistung übergehen. Ist der ZVV dahingehend vorbereitet?

Fragen zur Erfüllung und Anpassung der Gesetze:

7. Wie will der Regierungsrat sicherstellen, dass auch Personen, die mit wirtschaftlicher Sozialhilfe unterstützt werden, Zugang zu einem Smartphone haben? Wäre die Beschaffung eines Smartphones als situationsbedingte Leistung zu qualifizieren? Drängt sich aus Sicht des Regierungsrats eine Anpassung der Rechtsgrundlagen auf?

8. Welche kostenneutrale Dienstleistung für den Kunden stellt der ZVV zur Verfügung, um Menschen mit Beeinträchtigung, (Stichwort EMRK) resp. Kinder und Senioren auf die Zukunft hin zu schulen (Hintergrund, die heutigen technischen Mittel sind nicht einfach für obgenannte Zielgruppe zu bedienen [Bsp. Stadtnetze, Mehrfahrtenkarte, Rundreisetickets, …])?

9. Gibt es Kostenrechnung, die die Rentabilität der zukünftigen reinen IT-Lösungen mit den 99% Verfügbarkeit ausweisen inkl. in der Borschüre «Strategie erläuternder Bericht» des ZVV, Juni 2023, Herausgeber ZVV Zürcher Verkehrsverbund erwähnten Dienstleistungen im Vergleich zu der heutigen bestehenden Lösung?

Dispositiv

Auf Antrag der Volkswirtschaftsdirektion beschliesst der Regierungsrat:

I. Die Anfrage Beat Hauser, Rafz, Martin Huber, Neftenbach, und Davide Loss, Thalwil, wird wie folgt beantwortet: Zu Fragen 1 und 2: Der Zürcher Verkehrsverbund (ZVV) betreibt alle Systeme mit Kundendaten in Abstimmung mit der Datenschutzbeauftragten des Kantons Zürich und unter Einhaltung der geltenden Datenschutzbestimmungen. Die Systeme werden grundsätzlich «datensparsam» konzipiert und speichern ausschliesslich die für die Bearbeitung notwendigen Daten. Externe Lieferantinnen und Lieferanten werden durch vertragliche Vereinbarungen verpflichtet, die geltenden Datenschutzvorgaben einzuhalten, was im Rahmen regelmässiger Audits überprüft werden kann. Im Bereich Zahlungsverkehr arbeitet der ZVV mit Zahlungsanbietenden zusammen, sodass beim ZVV selbst keine Finanzdaten, wie Bankkonti oder Kreditkartennummern, gespeichert bzw. bearbeitet werden. All diese Zahlungsanbietenden erfüllen die Vorgaben gemäss dem international geltenden «Payment Card Industry Data Security Standard» (PCI-DSS). Auch auf nationaler Ebene setzt sich der ZVV zusammen mit der Branchenorganisation Alliance SwissPass und den SBB als Betreiberin der nationalen Vertriebssysteme des öffentlichen Verkehrs (öV) für einen hohen Sicherheitsstandard ein.

Zu Frage 3: Die Verfügbarkeit der ZVV-Systeme hängt im Wesentlichen von fünf Akteurinnen und Akteuren ab: von den Kundinnen und Kunden mit den Systemen in ihrem Besitz (insbesondere Smartphone und SwissPass- Karte), von den Mobilfunknetzbetreibenden, von den Zahlungsdienstleistenden, von den SBB als Betreiberin der nationalen öV-Vertriebssysteme sowie vom ZVV für die eigenen digitalen Vertriebskanäle. Der ZVV kann nur die Verfügbarkeit der Letzteren direkt beeinflussen. Zu diesem Zweck schliesst er sogenannte Service Level Agreements mit seinen Lieferantinnen und Lieferanten ab, in denen verschiedene konkrete Massnahmen vereinbart werden (z. B. Vorgaben zu Systemredundanz). Zudem wird die Verfügbarkeit der Services im Betrieb laufend überwacht. Die Verfügbarkeit der ZVV-eigenen Systeme (Ticket-Shop, Mobile App) betrug in den vergangenen zwölf Monaten mehr als 99,8% (ohne Berücksichtigung der geplanten nächtlichen wartungsbedingten Betriebsunterbrüche). Die Verfügbarkeit der nationalen Vertriebssysteme lag 2022 bei mehr als 99,5%. Zu Fragen 4–6: Grundsätzlich gilt die Regel, dass öffentliche Verkehrsmittel nur mit gültigem Fahrausweis benutzt werden dürfen. Die Fahrgäste müssen vor Antritt der Reise ein gültiges Billett lösen und dafür nach Möglichkeit auch auf einen anderen Vertriebskanal ausweichen, wenn der bevorzugte Kanal nicht verfügbar ist. Selbstverständlich werden aber technische Probleme an den Vertriebskanälen zugunsten der Fahrgäste berücksichtigt. So werden Reisende ohne gültigen Fahrausweis bei der Kontrolle nicht belangt, wenn sie aufgrund von offiziell kommunizierten Störungen der digitalen Verkaufskanäle oder umfassenden Netzzusammenbrüchen kein Billett für ihre Reise lösen konnten. Die Kontrolldienste werden diesfalls über das Branchen-Informationsportal informiert und können entsprechend handeln (Kulanz bzw. Einstellen der Kontrolle). Bei anderen durch den Fahrgast geltend gemachten Störungen wird zwar im Rahmen der Fahrausweiskontrolle ein Vorfall erfasst und ein Zuschlag erhoben, es kann jedoch im Nachgang eine vertiefte Prüfung durch den zuständigen Inkassodienst erfolgen und dabei auch eine allfällige technische Störung nachträglich berücksichtigt werden. Den Fahrgast trifft dementsprechend nie eine Beweislast bezüglich Verfügbarkeit der Systeme. Wird eine Störung geltend gemacht, kann dies

im Inkassoverfahren überprüft und der Zuschlag gegebenenfalls vermindert oder erlassen werden. Dessen ungeachtet liegt es aber grundsätzlich immer in der Verantwortung der Fahrgäste, unter Nutzung der vorhandenen Möglichkeiten vor Antritt der Reise ein gültiges Billett zu kaufen.

Zu Fragen 7–9: Die digitalen Vertriebskanäle erleichtern nicht nur den Zugang zum öV, sondern weisen gemessen an Absatz und Umsatz auch die bei Weitem niedrigsten Kosten aller Vertriebskanäle des ZVV auf. Dementsprechend hat der Kantonsrat in den Grundsätzen über die mittel- und langfristige Entwicklung von Angebot und Tarif im öffentlichen Personenverkehr in den Jahren 2024–2027 (Vorlage 5730a) festgehalten, dass die Digitalisierung des Vertriebs konsequent weitergeführt werden soll, um den Zugang zum öV weiter zu vereinfachen und dessen Wirtschaftlichkeit mittel- bis langfristig zu verbessern. Gleichzeitig müssen aber im Rahmen der Digitalisierung des Vertriebs immer auch die Interessen von Kundengruppen berücksichtigt werden, welche die digitalen Kanäle nicht nutzen können oder wollen. Für sie sollen gemäss den Vorgaben des Kantonsrates Beratung und Verkauf per Telefon zur vollwertigen und attraktiven Ergänzung der bedienten Service- und Beratungsstellen vor Ort ausgebaut werden. Weiter soll auch an einer Grundversorgung mit bedienten Service- und Beratungsstellen festgehalten werden, sofern wirtschaftlich vertretbar. Ein Smartphone wird entsprechend auch in Zukunft keine Voraussetzung für die Benützung der öffentlichen Verkehrsmittel sein. Ab Anfang 2024 wird im ZVV die Möglichkeit bestehen, nicht nur Abonnemente, sondern auch Einzelbillette telefonisch beim Kundendienst ZVV-Contact zu kaufen und direkt auf den SwissPass zu laden. Nach dem Anruf ist das Ticket sofort auf dem SwissPass verfügbar und der Fahrgast entsprechend bereit zur Abfahrt. Die Zahlung erfolgt gegen Rechnung oder mittels SwissPass Pay. Gleichzeitig wird es auch möglich sein, das Ticket via ZVV-App auf den SwissPass einer Drittperson – z. B. eines Kindes – zu laden. Darüber hinaus bietet der ZVV bereits heute für alle Personen, die Ticketautomaten meiden, Mühe mit der Orientierung am Bahnhof haben oder sich auf den Strassen unsicher fühlen, den kostenlosen Kurs «mobil sein & bleiben» an.

II. Mitteilung an die Mitglieder des Kantonsrates und des Regierungsrates sowie an die Volkswirtschaftsdirektion.

Vor dem Regierungsrat Der stv. Staatsschreiber: Peter Hösli