Bericht VDSZ

ren, dass die Privatinitiative bezüglich der DSQ gewahrt wird. Zudem kann die Regelungsdichte der Verordnung gesenkt werden. Als möglicher Nachteil erscheint, dass eine unübersehbare Vielfalt an Datenschutz-Qualitätszeichen entstehen und damit die Markttransparenz beeinträchtigt werden könnte. Schwierigkeiten könnten zudem entstehen, wenn Inhaber von Qualitätszeichen die gesetzlichen Vorgaben nicht (oder nicht mehr) einhalten.

Mit dem offiziellen Qualitätszeichen könnte einer Label-Flut indirekt entgegengewirkt werden. Es würde zudem sicherstellen, dass alle zertifizierten Stellen auch Zugang zu einem solchen Zeichen haben, was in der ersten Variante nicht absolut gewährleistet ist. Ein weiterer Vorteil würde darin liegen, dass die Zertifizierung kostengünstiger ist, da weder die Zertifizierer noch die Zertifizierten für das Qualitätszeichen Lizenzgebühren bezahlen müssen. Die Variante bringt zwei wesentliche Nachteile: Zum Einen würde ein staatlicher Eingriff in einen bisher den Privaten überlassenen Markt erfolgen, zum Andern müsste die Regelungsdichte der Verordnung erhöht werden.

Nach Evaluation der mit den beiden Varianten verbundenen Vor- und Nachteile wird die erstgenannte Variante bevorzugt. Ihre Vorteile sind klar greifbar und werden insbesondere auch deshalb höher gewichtet als die Nachteile, weil bei diesen ungewiss ist, ob sie sich überhaupt realisieren werden.

1. Anforderungen an die Zertifizierungsstellen (Art. 1)

Die Voraussetzungen, welche die Zertifizierungsstellen zu erfüllen haben, ergeben sich grundsätzlich aus den ISO/IEC Guides 62 (neu ISO/IEC 17021) und 65 (wird demnächst ebenfalls ISO-Norm), deren Anwendbarkeit in Art. 7 Abs. 1 und Anhang 2 der Akkreditierungs- und Bezeichnungsverordnung (AkkBV; SR 946.512) geregelt ist. Dort wird namentlich das Unabhängigkeitserfordernis festgelegt und das Zertifizierungs- bzw. Produkteprüfungsverfahren geregelt. Eine zusätzliche Regelung in dieser Verordnung erübrigt sich.

Zu konkretisieren sind dagegen die Anforderungen an die Qualifikation der Auditorinnen und Auditoren bzw. des Personals, welches Produkteprüfungen durchführt. Es ist dabei zu berücksichtigen, dass es im Bereich des Datenschutzes keine standardisierten Ausbildungen gibt und dass Expertinnen und Experten vergleichsweise rar sind. Entsprechende Praxiserfahrung ist daher zu berücksichtigen. Die entsprechenden Anforderungen werden im Anhang konkretisiert.

Absatz 3 verwendet in Anlehnung an die Bio-Verordnung (SR 910.18) den Begriff des Kontrollprogramms. Dieses Kontrollprogramm umfasst einerseits den Prüfungsraster, der inhaltlich vorgibt, welche Standards in welchen Punkten zu erfüllen sind sowie Angaben zum Ablauf des Kontrollverfahrens (einschliesslich der Überwachung und der Reevaluation). Zu zertifizierende "Stellen" im Sinne dieser Bestimmung können sowohl Bundesorgane als auch private Organisationen sein. Auch eine Arztpraxis oder Anwaltskanzlei, wo regelmässig Daten bearbeitet werden, ist eine „Stelle“ im Sinne dieser Bestimmung und kann damit sich damit zertifizieren lassen.

Die Mindestanforderungen (Abs. 4) richten sich in erster Linie nach den internationalen Standards, deren Anwendbarkeit sich aus der Akkreditierungs- und Bezeichnungsverordnung ergibt. Durch den Verweis auf die Art. 4 bis 6 der vorliegenden