RRB Nr. 671/2026
Anfrage Cristina Cortellini, Dietlikon, Gabriel Mäder, Adliswil, und Claudia Frei, Uster, betreffend Transparenz oder Datenleck: Spielen Online-Publikationen gewisser Gemeinden Cyberkriminellen in die Hände?, Beantwortung
Rubrum
Auszug aus dem Protokoll des Regierungsrates des Kantons Zürich KR-Nr. 115/2026
Sitzung vom 17. Juni 2026
671. Anfrage (Transparenz oder Datenleck: Spielen Online- Publikationen gewisser Gemeinden Cyberkriminellen in die Hände?) Kantonsrätin Cristina Cortellini, Dietlikon, Kantonsrat Gabriel Mäder, Adliswil, und Kantonsrätin Claudia Frei, Uster, haben am 30. März 2026 folgende Anfrage eingereicht: Die fortschreitende Digitalisierung der Verwaltung führt dazu, dass immer mehr Verwaltungsverfahren online abgewickelt und öffentlich zugänglich gemacht werden. Dies betrifft unter anderem auch Verfahren, bei denen Unterlagen während einer bestimmten Frist öffentlich aufgelegt werden müssen, beispielsweise im Baubewilligungsverfahren. In einzelnen Gemeinden (wie z. B. in Uster) werden solche Unterlagen derzeit während der Auflagefrist vollständig im Internet publiziert, inklusive Personendaten wie private E-Mail-Adressen, Telefonnummern, Geburtsdaten und handschriftliche Unterschriften. Während die öffentliche Auflage gesetzlich vorgesehen ist, stellt sich die Frage, welche Personendaten für die Information der Öffentlichkeit tatsächlich erforderlich sind und welche aus Gründen des Datenschutzes nicht veröffentlicht werden sollten. Gerade im Kontext zunehmender Cyberkriminalität und automatisierter Datensammlung im Internet schafft die Publikation unnötiger Personendaten Risiken für die betroffenen Bürgerinnen und Bürger. Gleichzeitig scheint die Praxis in den Gemeinden unterschiedlich zu sein. Vor diesem Hintergrund wird der Regierungsrat um die Beantwortung folgender Fragen gebeten:
Erwägungen
1. Welchen Stellenwert misst der Regierungsrat dem Schutz von Personendaten der Bevölkerung bei der elektronischen Veröffentlichung von Verwaltungsunterlagen bei?
2. Welche Personendaten erachtet der Regierungsrat bei öffentlich aufzulegenden Unterlagen (z. B. im Baubewilligungsverfahren) als zwingend erforderlich für die Information der Öffentlichkeit? Und ist der Regierungsrat der Ansicht, dass Personendaten wie Geburtsdaten, private E-Mail-Adressen, Telefonnummern oder handschriftliche Unterschriften grundsätzlich nicht online publiziert werden sollten, sofern sie für das Verfahren nicht notwendig sind?
3. Inwiefern bestehen kantonale Vorgaben oder Empfehlungen an Gemeinden, welche Personendaten vor einer Online-Publikation zu anonymisieren oder zu schwärzen sind?
4. Wie beurteilt der Regierungsrat die Risiken, dass öffentlich zugängliche Verwaltungsdokumente automatisiert gesammelt und für kriminelle Zwecke (z. B. Identitätsdiebstahl oder Social Engineering) verwendet werden?
5. Gemäss Auskunft der kantonalen Datenschutzbeauftragten liegt es grundsätzlich in der Verantwortung des zuständigen öffentlichen Organs, zu entscheiden, welche Personendaten im Rahmen einer öffentlichen Auflage publiziert werden und ob einzelne Angaben zu schwärzen sind. Welche Rolle spielt die kantonale Datenschutzbeauftragte bei der Überprüfung solcher Publikationspraktiken in Gemeinden, und welche Aufsichts- oder Interventionsmöglichkeiten bestehen gegenüber Gemeinden, wenn Zweifel an der Verhältnismässigkeit einer Publikation von Personendaten bestehen?
6. Wer stellt die Einhaltung der kantonalen Vorgaben und Empfehlungen bei Online-Publikationen sicher und sorgt für eine einheitliche Auslegung?
7. Wird mit der Einführung der kantonalen Plattform für elektronische Auflagen sichergestellt, dass unnötige Personendaten nicht veröffentlicht werden? Falls ja, wie wird dies konkret umgesetzt?
8. Sieht der Regierungsrat Handlungsbedarf bei gesetzlichen Grundlagen, um den Schutz von Personendaten bei digitalen Publikationen zu stärken?
9. Plant der Regierungsrat weitere Massnahmen oder Richtlinien, um Gemeinden bei der datenschutzkonformen digitalen Veröffentlichung von Verwaltungsverfahren zu unterstützen?
Dispositiv
Auf Antrag der Staatskanzlei beschliesst der Regierungsrat:
I. Die Anfrage Cristina Cortellini, Dietlikon, Gabriel Mäder, Adliswil, und Claudia Frei, Uster, wird wie folgt beantwortet: Zu Fragen 1 und 2: Der Regierungsrat misst dem Schutz von Personendaten grossen Stellenwert bei. Dies betrifft nicht nur die elektronische Veröffentlichung von Unterlagen der Verwaltung, sondern den Umgang mit Personendaten im Allgemeinen. Es kommen die Vorschriften des Gesetzes über die Information und den Datenschutz (IDG, LS 170.4) und der Verordnung über die Information und den Datenschutz (IDV, LS 170.41) zur Anwendung. Öffent- liche Organe dürfen Personendaten nur bearbeiten, soweit dies zur Erfüllung ihrer gesetzlich umschriebenen Aufgaben geeignet und erforderlich ist (§ 8 Abs. 1 IDG). Online veröffentlicht und damit bekannt gegeben werden dürfen Personendaten nach Massgabe von § 16 Abs. 1 lit. a–c IDG. Öffentliche Organe dürfen demnach Personendaten bekannt geben, wenn eine rechtliche Bestimmung dazu ermächtigt, die betroffene Person im Einzelfall eingewilligt hat oder es im Einzelfall zur Abwendung einer drohenden Gefahr für Leib und Leben unentbehrlich oder der notwendige Schutz anderer wesentlicher Rechtsgüter höher zu gewichten ist. Für die Bekanntgabe von besonderen Personendaten kommt § 17 Abs. 1 lit. a–c IDG zur Anwendung. Öffentliche Organe dürfen demnach besondere Personendaten bekannt geben, wenn eine hinreichend bestimmte Regelung in einem formellen Gesetz dazu ermächtigt, die betroffene Person im Einzelfall ausdrücklich dazu eingewilligt hat oder es im Einzelfall zur Abwendung einer drohenden Gefahr für Leib und Leben unentbehrlich oder der notwendige Schutz anderer wesentlicher Rechtsgüter höher zu gewichten ist. Für die Veröffentlichung von Erlassen, Anordnungen, Beschlüssen und anderen amtlichen Texten, die Pflichten auferlegen oder Rechte einräumen oder die Organisation, Zuständigkeit und die Aufgaben der Behörden der Verwaltung regeln oder deren Verfahrensabläufe festschreiben (§ 1 Publikationsgesetz [PublG, LS 170.5]), kommt des Weiteren die Regelung von § 20 PublG zur Anwendung. Diese sieht vor, dass Veröffentlichungen Personendaten und besondere Personendaten gemäss § 3 IDG enthalten dürfen, soweit dies für eine in einem Gesetz vorgesehene Veröffentlichung notwendig ist. Eine pauschale Aussage darüber, welche Personendaten bei öffentlich aufzulegenden Unterlagen für die Information der Öffentlichkeit als
zwingend erforderlich einzustufen sind, ist nicht möglich. Es gilt gestützt auf die vorstehenden Ausführungen der Grundsatz, dass nicht mehr Personendaten veröffentlicht werden dürfen, als dies die massgebliche rechtliche Grundlage vorgibt und als dies zur Erfüllung der betreffenden Aufgabe geeignet und erforderlich ist. Auf die Veröffentlichung von Personendaten, die zur Erfüllung der Aufgabe nicht erforderlich sind, ist zu verzichten. Welche Personendaten konkret zu publizieren sind, ist dabei gestützt auf die einschlägigen Rechtsgrundlagen für das spezifische Verfahren zu beurteilen. Im Baubewilligungsverfahren müssen die nötigen Angaben über Ort und Art des Bauvorhabens sowie über die Gesuchstellerin oder den Gesuchsteller öffentlich bekannt gemacht werden. Geburtsdaten, private E-Mail-Adressen, private Telefonnummern oder handschriftliche Unterschriften sollten jedoch anlässlich der öffentlichen Auflage nicht ein- sehbar sein. Es handelt sich dabei um Personendaten, die für die Beurteilung des Bauvorhabens und die Identifikation der Gesuchstellerin oder des Gesuchstellers nicht zwingend erforderlich sind. Zu Frage 3: Die Datenschutzbeauftragte des Kantons Zürich stellt den Gemeinden verschiedene Merkblätter und Empfehlungen zum Datenschutz und zur Informationssicherheit auf ihrer Webseite zur Verfügung (datenschutz.ch/datenschutz-in-oeffentlichen-organen/gemeinden), darunter auch ein Merkblatt zur «Veröffentlichung von Personendaten im Internet». Zur Verfügung gestellt werden auch Hinweise zur Anonymisierung im Allgemeinen, so namentlich im Merkblatt zum Vernichten elektronischer Daten (docs.datenschutz.ch/u/d/publikationen/formulare-merkblaetter/merkblatt_vernichten_elektronischer_daten.pdf). Die Datenschutzbeauftragte bietet zudem ein kostenloses Schulungsformat «Datenschutz und Informationssicherheit in Gemeinden» (vgl. datenschutz.ch/ schulung-fuer-gemeinden) an. Des Weiteren unterstützt die Zusammenarbeitsorganisation egovpartner die Gemeinden mit Projekten und Beratungsdienstleistungen bei der Umsetzung von Digitalisierungsvorhaben. Die Geschäftsstelle
egovpartner führt Abklärungen durch und stellt entsprechende Empfehlungen an die Gemeinden in praxisnahen Umsetzungshilfen zur Verfügung (egovpartner.ch/projekte-angebote/beratung/). Wo datenschutzrechtliche Fragen betroffen sind, arbeitet die Geschäftsstelle egovpartner eng mit der kantonalen Datenschutzbeauftragten zusammen. Zu Frage 4: Die Risiken der Cyberkriminalität bestehen grundsätzlich auch bei online veröffentlichten Verwaltungsdokumenten. Zu betonen ist deshalb die Wichtigkeit einer sorgfältigen Prüfung entsprechender Veröffentlichungen. Eine korrekte Umsetzung der Vorgaben des Datenschutzrechts, der Informationssicherheit sowie der für das betreffende Verfahren massgeblichen Rechtsgrundlagen der Spezialgesetzgebung ist unabdingbar, um diesen Risiken entgegenzutreten. Zu Fragen 5 und 6: Bearbeitet ein öffentliches Organ Personendaten, liegt es in seiner Verantwortung, den Schutz dieser Daten sicherzustellen. Das öffentliche Organ muss prüfen, ob genügende rechtliche Grundlagen für die Bearbeitung bzw. für die Bekanntgabe von Personendaten oder besonderen Personendaten vorliegen. Das öffentliche Organ ist sodann dafür verantwortlich, die rechtlichen Vorgaben korrekt umzusetzen. Dies umfasst auch die Abwägung, ob die Bearbeitung bzw. Bekanntgabe von Personendaten verhältnismässig ist und dem Zweck der Aufgabenerfüllung entspricht.
Die oder der Datenschutzbeauftragte überwacht die Anwendung der Vorschriften über den Datenschutz, berät die verantwortlichen Organe in Fragen des Datenschutzes und der Datensicherheit, erteilt Rechtsauskünfte an betroffene Personen, vermittelt zwischen betroffenen Personen und verantwortlichen Organen, informiert die Öffentlichkeit über wesentliche Anliegen des Datenschutzes, bietet Aus- und Weiterbildungen an und beurteilt datenschutzrelevante Gesetze und Vorhaben (§ 34 IDG). Die oder der Datenschutzbeauftragte kann bei öffentlichen Organen Auskunft über das Bearbeiten von Daten einholen, Einsicht in die Daten nehmen und sich Bearbeitungen vorführen lassen, soweit es für ihre oder seine Tätigkeit notwendig ist (§ 35 Abs. 1 IDG). Stellt die oder der Datenschutzbeauftragte eine Verletzung des Datenschutzrechts fest, kann sie oder er dem betroffenen öffentlichen Organ eine verbindliche Empfehlung abgeben, welche Massnahmen zu ergreifen sind (§ 36 Abs. 1 IDG). Die oder der Beauftragte übt zudem die Oberaufsicht über die Beauftragten der Gemeinden oder anderer öffentlicher Organe aus, wo diese eigene Beauftragte bestellt haben (§ 33 IDG). Zu Frage 7: Im Baubewilligungsverfahren ist es Aufgabe der kommunalen Baubehörden, dafür zu sorgen, dass im Rahmen der öffentlichen Auflage nur Personendaten bekannt gegeben werden, die zur Beurteilung des Baugesuchs und zur Identifizierung der Gesuchstellerin oder des Gesuchstellers erforderlich sind. Derzeit befindet sich das Baugesuchsformular in Überarbeitung. Personendaten, die aus datenschutzrechtlichen Gründen nicht für die öffentliche Bekanntmachung geeignet sind, werden künftig in einem separaten Formular erfasst. Mit dieser Massnahme kann die Gefahr verringert werden, dass sensible Personendaten versehentlich bekannt gegeben werden. Zu Frage 8: Der Kanton Zürich verfügt mit dem IDG und der IDV über die erforderlichen rechtlichen Grundlagen, um dem Schutz von Personendaten Rechnung zu tragen. Diese Grundlagen kommen auch bei der Onlinepublikation von Personendaten zur Anwendung. Mit einer korrekten Anwendung und Umsetzung dieser Grundlagen kann dem Schutz von Personendaten angemessen Rechnung getragen werden. Der Kantonsrat hat am 23. März 2026 das totalrevidierte IDG erlassen (Vorlage 5923). Im Rahmen dieser Totalrevision wurden die Bestimmungen des IDG überarbeitet und den Entwicklungen der letzten
Jahre angepasst, damit der Kanton Zürich auch weiterhin über zeitgemässe Rechtsgrundlagen für einen wirksamen Datenschutz verfügt. Gesetzgeberischer Handlungsbedarf ist derzeit nicht zu erkennen.
Zu Frage 9: Die Zusammenarbeitsorganisation egovpartner unterstützt und begleitet die Gemeinden proaktiv bei der Umsetzung von datenschutzkonformen elektronischen Verwaltungsverfahren. So führt egovpartner derzeit mehrere Projekte für die Gemeinden durch, in denen die Anforderungen an Datenschutz und Informationssicherheit durch egovpartner zentral geprüft und umgesetzt werden. Dabei wird die Datenschutzbeauftragte miteinbezogen. Als Beispiel zu nennen ist das Projekt E-Services (egovpartner.ch/ projekte-angebote/unsere-projekte-themen/detail/e-services/). Ziel dieses Projekts ist, einen zeitgemässen Onlineschalter für Gemeinden zu realisieren, im Einklang mit den datenschutzrechtlichen Vorgaben sowie gestützt auf die Vorgaben der Änderung vom 30. Oktober 2023 des Verwaltungsrechtspflegegesetzes (VRG, LS 175.2) betreffend elektronische Verfahrenshandlungen. Parallel dazu begleitet egovpartner die Gemeinden mit verschiedenen Beratungsdienstleistungen im Kontext der genannten Änderung des VRG (egovpartner.ch/projekte-angebote/unsere-projekte-themen/). Im Rahmen des Projekts GPZH setzt egovpartner eine Webseitenlösung für die Gemeinden (egovpartner.ch/projekte-angebote/unsere-projekte-themen/detail/gemeindeportalezh-gpzh/) um. Zudem realisiert egovpartner eine Dokumentenplattform für den sicheren Austausch von Dokumenten zwischen Kanton und Gemeinden (egovpartner.ch/projekte-angebote/unsere-projekte-themen/detail/dokumentenplattform/). Über die spezifischen Projekte hinaus stellt egovpartner bestehende Hilfsmittel des Kantons auch den Gemeinden zur Verfügung.
II. Mitteilung an die Mitglieder des Kantonsrates und des Regierungsrates sowie an die Staatskanzlei.
Vor dem Regierungsrat Der stv. Staatsschreiber: Peter Hösli