Grossstadtrat hinterfragt Datenschutz der Luzerner Sozialdienst-App

Die App der Sozialen Dienste in Luzern steht aufgrund von Datenschutzbedenken in der Kritik. Seit August 2025 setzt die Stadt die App "Bontrebo" ein. Sie ermöglicht eine "direkte und niederschwellige Kommunikation zwischen Fachpersonen und Klientel", wie die Stadt Luzern schreibt. Grossstadtrat Adrian Häfliger der Grünen äussert aber in einer Interpellation Bedenken hinsichtlich der Datensicherheit.

Das Schweizer Unternehmen Bontrebo, das hinter der App steht, ist Teil des "Microsoft für Startups"-Programms und nutzt Microsoft Azure Cloud-Dienste. Die "Bontrebo Cloud" wird durch einen Azure-Application-Gateway von Microsoft geschützt, wie auf der Webseite des Unternehmens zu lesen ist. Die Kommunikation erfolgt über SSL-geschützte Protokolle, heisst es weiter. 

Doch der Interpellant weist darauf hin, dass Microsoft als US-amerikanisches Unternehmen dem US Cloud Act unterliegt, der den Zugriff von US-Behörden auf Daten nicht verhindert. Man müsse laut Häfliger davon ausgehen, dass Sozialarbeitenden und Klientel auf "Bontrebo" Personendaten austauschen, die laut Gesetz als "besonders schützenswert" gelten. Häfliger erinnert ferner an eine Einschätzung der Luzerner Datenschutzbeauftragten Natascha Ofner-Venetz. Diese kritisierte im September 2025 den Einsatz von Microsoft 365 in der kantonalen Verwaltung. Sie verwies auf fehlende Rechtsgrundlagen, Kontrollverlust sowie Abhängigkeiten. Gemäss Ofner-Venetz verstösst die Bearbeitung und Speicherung besonders schützenswerter Personendaten über amerikanische Cloud-Anbieter gegen das Gesetz.

Häfliger bittet den Stadtrat in seiner Interpellation um Beantwortung datenschutzrelevanter Fragen. Er möchte wissen, ob für die "Bontrebo"-App eine Datenschutz-Folgeabschätzung (DSFA) durchgeführt und diese der Datenschutzbeauftragten zur Prüfung vorgelegt wurde. 

Der Grossstadtrat erklärt in einer Medienmitteilung der Grünen Partei der Stadt Luzern: "Es ist gut, dass die App von einem schweizerischen Hersteller stammt. Die Behörden müssten aber bereits bei der Vergabe entsprechender Aufträge oder der Beschaffung solcher Produkte sicherstellen, dass die Datenverarbeitung auf Servern unter ausschliesslich schweizerischer Kontrolle verarbeitet werden."

Übrigens startet die Stadt Luzern gemeinsam mit den Gemeinden ein Vorprojekt, um die Grundlagen für eine Cyberstrategie zu erarbeiten. Diese soll das Verständnis, die Verantwortlichkeiten und den Umgang mit Cyberrisiken und -vorfällen regeln. Lesen Sie hier mehr dazu.