Bericht VDSZ

kennung von Ressourcenbedürfnissen sowie die Verbesserung der Kriterien zur Messung der Wirksamkeit der Massnahmen.

5. Zertifizierung von Produkten (Art. 5)

5.1 Allgemeines

Absatz 1 umschreibt, welche Produkte Gegenstand der Zertifizierung darstellen können sollen. Eine Datenschutzzertifizierung scheint nicht nur sinnvoll für Produkte, deren eigentlicher Zweck die Datenbearbeitung ist. Ebenso sinnvoll ist die Zertifizierung von Produkten, bei deren Benutzung Personendaten anfallen. Zu denken ist dabei insbesondere an Internetbrowser, Software für den Betrieb von Webservern, Applikationen zur Betreibung von Websites, aber z.B. auch an Logistiksysteme, die auf RFID- oder GPS-Technologien beruhen.

Absatz 2 Buchstabe a verweist auf die technischen Massnahmen, wie sie sich namentlich aus Art. 8 VDSG ergeben. Ein diesbezüglicher internationaler Standard besteht mit den Common Criteria (CC 2.1/ISO 15408) und den daraus für bestimmte Kategorien von Produkten abgeleiteten Schutzprofilen, die bestimmte Sicherheitsanforderungen definieren. Ausschlaggebend dafür, welche konkreten Anforderungen sich aus dieser Bestimmung ableiten, ist der jeweils aktuelle Stand der Technik.

Buchstabe b umschreibt den Grundsatz der Datensparsamkeit bzw. Datenvermeidung, der eine Konkretisierung des datenschutzrechtlichen Verhältnismässigkeitsgrundsatzes darstellt (Art. 4 Abs. 2 DSG).

Buchstabe c verweist auf die Transparenz der Bearbeitungsvorgänge, die das Produkt gewährleisten soll. Der Nutzer soll erkennen können, welche Personendaten wie bearbeitet werden und insbesondere, welche Daten wohin übermittelt werden. Die Anforderungen werden sich dabei nach dem Benutzerkreis richten, für den das Produkt konzipiert ist; sie werden damit für ein Produkt, das für die breite Masse der Anwenderinnen und Anwender bestimmt ist höher sein, als für ein Produkt, welches nur von Spezialisten bedient wird. Zu beurteilen sind Bearbeitungen, die ein Produkt im Rahmen der Funktionalität, für die es konzipiert wurde, automatisiert vornimmt. Ist das Produkt offen ausgestaltet und kann es für unterschiedliche Zwecke verwendet oder unterschiedlich konfiguriert werden, so wird darauf zu achten sein, dass sich Mechanismen, welche die Transparenz gewährleisten sollen, durch den Datenbearbeiter nicht ohne Weiteres umgehen oder ausschalten lassen.

5.2 Mindestanforderungen an die Produkteprüfung

Absatz 3 hält fest, dass der Eidg. Datenschutz- und Öffentlichkeitsbeauftragte (E-DÖB) Richtlinien darüber erlässt, welche datenschutzzspezifischen Kriterien im Rahmen der Zertifizierung eines Produkts mindestens zu prüfen sind. Im Gegensatz zur Situation bei der Zertifizierung von Datenschutzmanagementsystemen bestehen hier keine international anerkannten Standards, die ohne Weiteres angepasst werden können.

Denkbar ist indessen, dass sich der EDÖB bei den Vorgaben für ein Begutachtungsraster für Produkteprüfungen an den Anforderungskatalog anlehnt, wie er vom Un-