Bericht VDSZ

das dafür zur Anwendung kommen soll. Er kann aber die Zertifizierung nicht selbst sistieren oder entziehen.

Stellt die oder der Beauftragte fest, dass wesentliche Voraussetzungen der Datenschutzzertifizierung nicht erfüllt sind oder dass die Zertifizierung in irreführender oder missbräuchlicher Art und Weise verwendet wird, so soll er sich zunächst an die zuständige Zertifizierungsstelle wenden, und diese über die festgestellten Mängeln unterrichten (Abs. 1). Es obliegt dann der Zertifizierungsstelle, auf die zertifizierte Organisation einzuwirken und zu veranlassen, dass die erforderlichen Massnahmen getroffen werden. Wird der Mangel nicht innert 30 Tagen durch die zertifizierte Stelle korrigiert, so sistiert die Zertifizierungsstelle die Zertifizierung. Besteht auch nach Ablauf dieser Frist gar keine Aussicht darauf, dass innert einem angemessenen Zeitraum ein rechtskonformer Zustand geschaffen oder wiederhergestellt wird, ist die Zertifizierung zu entziehen (Abs. 3). Als angemessen werden höchstens 3 Monate gelten können.

Wenn die Probleme nicht durch die Intervention der Zertifizierungsstelle behoben werden können und diese dennoch die Zertifizierung nicht sistiert oder entzieht, ist die oder der Beauftragte verpflichtet, eine Empfehlungen nach Art. 27 Abs. 4 oder 29 Abs. 3 DSG auszusprechen. Je nachdem, wem die Verantwortung für die Mängel zuzuordnen ist, kann sich eine Empfehlung an das zertifizierte Unternehmen oder die Zertifizierungsstelle richten. Wird die Empfehlung an die Zertifizierungsstelle gerichtet, so ist die Schweizerische Akkreditierungsstelle darüber zu informieren, denn sie hat die Fachaufsicht über die Zertifizierungsstellen inne. Wird die Empfehlung nicht befolgt oder abgelehnt, kann sie auf gerichtlichem Weg durchgesetzt werden⁵: Die oder der Beauftragte kann sie dem Bundesverwaltungsgericht zum Entscheid vorlegen, der Weiterzug ans Bundesgericht ist möglich.

Liegen gravierende Mängel vor (z.B. wenn die Zertifizierungsstelle durch Täuschung dazu gebracht wird, eine Zertifizierung zu erteilen oder wenn falsche Zertifikate geführt werden), wäre zu prüfen, ob im konkreten Fall strafrechtliche Tatbestände erfüllt sind (Betrug, Täuschung etc.).

Schliesslich ist noch darauf hinzuweisen, dass betroffene Konkurrenten, Kunden und gewisse Organisationen, namentlich Konsumentenschutzorganisationen, in Fällen, in denen Zertifikate oder Qualitätszeichen geführt werden, ohne dass die entsprechenden Voraussetzungen gegeben sind, auch Klage nach Art. 9 und 10 des Bundesgesetzes gegen den unlauteren Wettbewerb (SR 241) führen könnten.

ssssssssssssssssssss

15. Mindestanforderung an die Qualifikation des Personals der Zertifizierungsstellen (Anhang 1)

Dieser Anhang umschreibt die Minimalqualifikationen, über die das Personal einer Zertifizierungsstelle verfügen muss, welche Datenschutzzertifizierungen durchführen will. Da es kaum Spezialisten gibt, welche sämtliche Anforderungen erfüllen, wird die Durchführung von Audits und Produkteprüfungen durch interdisziplinäre Teams, wel-