Bericht VDSZ

Verordnung wird verdeutlicht, dass auch die einschlägigen datenschutzrechtlichen Regelungen Teil der Mindestanforderungen sind.

2. Beizug des EDÖB im Akkreditierungsverfahren (Art. 2)

Diese Bestimmung stellt eine Konkretisierung von Art. 11 Abs. 1 und 2 AkkBV dar.

3. Anerkennung ausländischer Zertifizierungsstellen (Art. 3)

Da im Bereich des Datenschutzes (noch) kein international harmonisierter Akkreditierungsstandard besteht und kein entsprechendes Verfahren definiert ist, muss die Anerkennung ausländischer Zertifizierungsstellen hier geregelt werden. Die Bestimmung entspricht Art. 29 Bio-Verordnung.

4. Zertifizierung von Datenschutzmanagementsystemen (Art. 4)

4.1 Allgemeines

Absatz 1 macht die Unterscheidung zwischen verschiedenen Auditierungs- bzw. Zertifizierungsobjekten deutlich.

Absatz 2 hält in genereller Art und Weise fest, was im Rahmen des Audit-Verfahrens zu begutachten ist. Die Kriterien umschreiben den Inhalt eines so genannten Datenschutzmanagementsystems: Es ist dies zunächst die Datenschutzpolitik. Die Datenschutzpolitik ist ein Grundlagendokument, welches die Grundzüge des Datenschutzes in der betreffenden Organisation vorgibt und die entsprechende Selbstverpflichtung aufzeigt; sie beschreibt den Ansatz der organisatorischen Massnahmen, mittels derer die Vorschriften des Datenschutzgesetzes sowie weitere gegebenenfalls zu beachtende Datenschutzbestimmungen eingehalten werden sollen. Daraus leitet sich die Konzeption der Umsetzung der datenschutzrechtlichen Vorschriften sowie ggf. internationaler Standards, die eine "gute Praxis" im Bereich Datenschutz und Datensicherheit umschreiben, in ihren Einzelheiten ab. Weiter sind Gegenstand des Audit-Verfahrens die Massnahmen, die vom betreffenden Datenbearbeiter zur Verwirklichung der festgehaltenen Datenschutzziele und -Massnahmen getroffen wurden. Besonderes Gewicht liegt dabei auf der Einrichtung von Verfahren zur Behebung festgestellter Probleme und Mängel.

Absatz 4 präzisiert die Formulierung vom Art. 11a Abs. 5 revDSG. Er macht deutlich, dass nur dann von der Anmeldung einer Datensammlung abgesehen kann, wenn sämtliche Datenbearbeitungen, die im Rahmen der Zweckbestimmung dieser Datensammlung anhand der darin enthaltenen Daten vorgenommen werden, Gegenstand einer Zertifizierung waren.