Bericht VDSZ

einschlägigen datenschutzrechtlichen Bestimmungen und andererseits aus den in den Anhängen 1 und 2 zum Ausdruck gebrachten Anforderungen ergeben.

Die Dauer für der Gültigkeit einer Datenschutzzertifizierung für Organisation und Verfahren (Datenschutzmanagementsystem) wird in Absatz 2 auf drei Jahre festgelegt. Weiter wird ausdrücklich festgehalten, dass jährlich eine Reevaluation der erteilten Zertifizierungen zu erfolgen hat (vgl. die entsprechende Vorschrift in ISO/IEC Guide 62, Ziff. 3.6.1). Die Zertifizierungsstelle muss ein entsprechendes Überwachungsdispositiv einrichten.

Auch bei der Produktezertifizierung besteht eine analoge Pflicht (Abs. 3): Die zertifizierten Produkte müssen spätestens alle zwei Jahre neu begutachtet werden. Wenn Veränderungen am Produkt vorgenommen werden, die sich auf die Bearbeitung von Personendaten auswirken, muss die erneute Zertifizierung sofort erfolgen (ISO/IEC Guide 65, Ziff. 13). Handelt es sich um geringfügige Änderungen, so ist eine summarische Prüfung ausreichend.

Nach Ablauf der Gültigkeitsfrist muss wiederum das vollständige Zertifizierungsverfahren durchlaufen werden, um erneut eine Zertifizierung zu erhalten.

7. Anerkennung ausländischer Datenschutzzertifizierungen (Art. 7)

Es scheint sinnvoll, einen Mechanismus vorzusehen, um auch ausländische Zertifizierungen anzuerkennen. So könnten insb. auch solche Organisationen eine Entbindung von der Pflicht zur Anmeldung ihrer Datensammlungen erlangen, bei welchen die Datenschutzzertifizierung im Ausland durchgeführt wurde. Dies könnte etwa dann der Fall sein, wenn ein Unternehmen sich in Deutschland datenschutzzertifizieren lässt, und das Zertifizierungsverfahren auch einen Unternehmensteil einschliesst, der sich in der Schweiz befindet. Der Beauftragte hat zu beurteilen, ob die Kriterien, nach denen die Zertifizierungen durchgeführt werden, materiell den Anforderungen der schweizerischen Gesetzgebung entsprechen.

8. Mitteilung des Ergebnisses des Zertifizierungsverfahrens an den EDÖB (Art. 8)

Diese Bestimmung nimmt Bezug auf Art. 11a Abs. 5 Bst. f revDSG. Sie hält klar fest, welche Unterlagen dem EDÖB einzureichen sind, um die Anforderungen ordnungsgemäss zu erfüllen. Welche Informationen der Bewertungsbericht und die Zertifizierungsdokumente umfassen müssen, ist in ISO/IEC Guide 62, Ziff. 3.4 und 3.5 umschrieben. Die Zertifizierungsdokumente enthalten Angaben über die Zertifizierungsstelle, welche die Zertifizierung durchgeführt hat, die normativen Grundlagen der Zertifizierung, die Prozesse bzw. Dienstleistungen, welche zertifiziert wurden sowie das Gültigkeits- und das Ablaufdatum der Zertifizierung. Der Bewertungsbericht enthält darüber hinaus detaillierte Angaben zur Konformität des DSMS mit den Zertifizierungsanforderungen und muss insb. Nichtkonformitäten klar nennen. Er kann ausserdem Vergleiche mit den Ergebnissen früherer Audits enthalten. Er muss schliesslich allfällige Differenzen zwischen Zertifizierungsstelle und zertifizierter Stelle zum Ausdruck bringen.

Im vorliegenden Zusammenhang ist darauf hinzuweisen, dass der Beauftragte im Rahmen seiner Aufsichtstätigkeit nach Art. 27 und 29 DSG selbstverständlich auch