Bericht VDSZ

Eidgenössisches Justiz- und Polizeidepartement EJPD

Bundesamt für Justiz BJ

Hauptabteilung Staats- und Verwaltungsrecht

Abteilung Rechtsetzungsprojekte und -methodik

Entwurf zu einer Verordnung über die Datenschutzzertifizierungen vom 1. Februar 2007: Erläuterungen

Der Entwurf stützt sich auf Artikel 11 Absatz 2 der Änderung des Bundesgesetzes über den Datenschutz vom 24. März 2006 (in der Folge: revDSG)¹, der vorsieht, dass der Bundesrat Vorschriften über die Anerkennung von Zertifizierungsverfahren und die Einführung eines Datenschutz-Qualitätszeichens erlässt. Der Entwurf nimmt den bereits in der Botschaft umschriebenen Rahmen für die Datenschutzzertifizierungen auf (vgl. Botschaft Revision DSG, BBl 2003 2136 f.). Er sieht zwei Zertifizierungsobjekte – Organisation und Verfahren des Datenschutzes (Datenschutzmanagementsystem) sowie Produkte (Programme und Systeme) – vor. Als Grundanforderung an die Zertifizierungsstellen ist vorgesehen, dass diese über eine Akkreditierung verfügen müssen. Damit besteht Gewähr für eine einheitliche Kontrolle der Zertifizierer, zudem kann der Regelungsbedarf stark reduziert werden. Die Verordnung legt im Übrigen einige Minimalanforderungen betreffend die Zertifizierungsstellen sowie das Zertifizierungsverfahren fest.

Im Hinblick auf die Einführung eines Datenschutz-Qualitätszeichens wurden zwei Varianten geprüft:

• Verzicht auf ein offizielles Qualitätszeichen: Es bliebe ausschliesslich den Privaten (insb. Zertifizierungsstellen) überlassen, selbst Qualitätszeichen festzulegen und den Zertifizierten – i.d.R. gegen Bezahlung einer Lizenzgebühr – das Verwendung des Zeichens gestatten. In dieser Variante werden in der Verordnung nur die Anforderungen an die Zertifizierung geregelt, die für alle Qualitätszeichen zu erfüllen wären.

• Festlegung eines offiziellen Qualitätszeichens: Nach dieser Variante würde in der Verordnung ein offizielles Qualitätszeichen vorgesehen, das von den zertifizierten Stellen ohne weitere Bedingungen verwendet werden kann. Das bedeutet indessen nicht, dass Zertifizierungen von einer staatlichen Stelle durchgeführt würden. Dieses offizielle Qualitätszeichen wäre eine Art „Infrastrukturdienstleistung“ und würde zusätzlich zu allfälligen privaten Qualitätszeichen bestehen.

In beiden Fällen wäre als organisatorisches Modell zudem eine gemischte Trägerschaft denkbar. Diese Lösung wurde jedoch aus Ressourcengründen ausgeschlossen.

Für die Variante „Verzicht auf ein offizielles Zeichen“ spricht in erster Linie ein grundsätzliches Argument: Mit der Einführung der Datenschutzzertifizierungen soll die Rechtsdurchsetzung im Datenschutzbereich auf privater Basis verbessert werden. Die Kontrolltätigkeit wird teilweise "privatisiert", was mit einem privaten DSQ adäquat zum Ausdruck gebracht würde. Als weiteren Vorteil dieser Variante lässt sich anfüh-