Vorlage VDSZ

Verordnung

⁴ Die Ausnahme von der Pflicht zur Anmeldung von Datensammlungen nach Artikel 11a Absatz 5 Buchstabe f DSG ist nur anwendbar, wenn sämtliche Datenbearbeitungsverfahren, denen eine Datensammlung dient, zertifiziert sind.

Art. 5 Zertifizierung von Produkten

¹ Zertifizierbar sind Softwareprodukte oder Kombinationen von Softwareprodukten mit bestimmten Hardwareprodukten, die hauptsächlich der Bearbeitung von Personendaten dienen oder bei deren Benutzung Personendaten, namentlich Daten über die Benutzerin oder den Benutzer, generiert werden.

² Gegenstand der Prüfung sind namentlich die produkt- bzw. systemimmanente Gewährleistung der:

a. im Hinblick auf den Verwendungsweck des Produkts oder Systems erforderlichen technischen Massnahmen zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der bearbeiteten Personendaten;

b. Vermeidung der im Hinblick auf den Verwendungszweck des Produkts nicht erforderlichen Generierung, Speicherung oder anderen Bearbeitung von Personendaten;

c. Transparenz und Nachvollziehbarkeit der im Rahmen der Erfüllung der vom Hersteller festgelegten Funktionalität eines Produkts automatisiert erfolgenden Bearbeitung von Personendaten.

³ Der oder die Beauftragte erlässt Richtlinien darüber, welche datenschutzspezifischen Kriterien im Rahmen der Zertifizierung eines Produkts mindestens zu prüfen sind.

Art. 6 Erteilung und Gültigkeit der Datenschutzzertifizierung

¹ Die Zertifizierung wird erteilt, wenn das Zertifizierungsverfahren aufgrund der von der Zertifizierungsstelle angewandten Begutachtungs- oder Prüfkriterien zum Ergebnis führt, dass die datenschutzrechtlichen Anforderungen sowie weitere Anforderungen, die sich aus den Anhängen 1 und 2 ergeben, erfüllt werden. Die Zertifizierung kann mit Bedingungen oder Auflagen verbunden werden.

² Die Zertifizierung eines Datenschutzmanagementsystems ist während drei Jahren gültig. Die Zertifizierungsstelle hat jährlich summarisch zu überprüfen, ob die Voraussetzungen für die Zertifizierung weiterhin erfüllt sind.

³ Die Zertifizierung eines Produktes ist während zwei Jahren gültig. Ein Produkt muss erneut zertifiziert werden, sobald daran Veränderungen vorgenommen wurden.

Art. 7 Anerkennung ausländischer Datenschutzzertifizierungen

Der oder die Beauftragte anerkennt nach Rücksprache mit der Schweizerischen Akkreditierungsstelle ausländische Zertifizierungen, wenn die Gewähr dafür besteht, dass die Anforderungen der schweizerischen Gesetzgebung erfüllt werden.