Bericht VDSZ

auf weitere mit der Zertifizierung zusammenhängende Dokumente, namentlich den Bewertungsbericht, zugreifen kann, soweit dies im Rahmen seiner Abklärungen erforderlich ist.

Aus dem Verweis auf Art. 4 folgt auch, dass nur bei einer Zertifizierung des Datenschutzmanagementsystems eine Befreiung von der Pflicht zur Registrierung der Datensammlungen möglich ist. Die blosse Verwendung zertifizierter Produkte durch einen Datenbearbeiter bzw. Inhaber der Datensammlung kann dafür nicht ausreichen, denn sie bietet nicht hinreichende Gewähr für die Einhaltung der Datenschutzvorschriften. Mit der vorliegenden Bestimmung wird klargestellt, wie Art. 11a Abs. 5 Bst. f revDSG im Zusammenhang mit Art. 11 Abs. 1 revDSG zu verstehen ist.

9. Sistierung und Entzug der Datenschutzzertifizierung (Art. 9)

Werden bei der regelmässigen Überprüfung der Zertifizierung oder bei der Rezertifizierung schwerwiegende Mängel festgestellt, kann die Zertifizierungsstelle die Datenschutzzertifizierung sistieren oder entziehen. Ein schwerer Mangel liegt insbesondere vor, wenn wesentliche Voraussetzungen der Datenschutzzertifizierung nicht mehr erfüllt sind. Dies wäre z.B. dann der Fall, wenn wiederholt festgestellt wird, dass die Dokumentationsanforderungen (vgl. Ziff. 4.2.2) nicht erfüllt werden oder dass die Managementbewertung (vgl. Ziff. 4.2.2) wiederholt nicht vorgenommen wird. Ebenfalls ein schwerer Mangel liegt vor, wenn die Zertifizierung missbräuchlich verwendet wird. Dies wäre etwa dann der Fall, wenn die Zertifizierung nur einen Teil der Datenbearbeitungen umfasst (Art. 4 Abs. 1 Bst. b) und dennoch ein Qualitätszeichen verwendet wird, welches eine umfassende Zertifizierung zum Ausdruck bringt.

Die Sanktionsmöglichkeit sieht schon der ISO/IEC-Guide 62 vor (künftig ISO/IEC 17021⁴; Ziff. 3.7.3, Anmerkung 6), der eine für die Akkreditierung massgebliche Grundlage darstellt. Es handelt sich also hier eigentlich um eine deklaratorische Bestimmung, die indessen der Klarheit halber in der Verordnung verankert werden soll. Die Einzelheiten der Regelung von Sistierung und Entzug sind denn auch nicht in der Verordnung festzulegen. Zu beachten ist darüber hinaus namentlich, dass mit der vorliegenden Bestimmung nicht die Kompetenz zum Erlass einer Verfügung an die Zertifizierer delegiert wird. Absatz 2 hält ausdrücklich fest, dass sich bei Streitigkeiten sowohl das Verfahren als auch die materielle Beurteilung nach den einschlägigen vertragsrechtlichen Bestimmungen richten.

10. Verfahren bei Aufsichtsmassnahmen des EDÖB (Art. 10)

Bei der Datenschutzzertifizierung geht es in erster Linie um Rechtsbeziehungen zwischen Privaten, die grundsätzlich dem privaten Recht unterstehen. Dies entspricht dem Konzept der Selbstregulierung: Mit der Zertifizierung sollen Marktmechanismen dafür genutzt werden, das Datenschutzrecht besser durchzusetzen.

Die oder der Beauftragte soll daher nicht direkt in dieses privatrechtliche Rechtsverhältnis eingreifen. Stellt er – namentlich im Rahmen seiner Aufsichtstätigkeit – schwerwiegende Mängel fest, muss er aber eine Möglichkeit haben, wirksam auf die Einhaltung der gesetzlichen Vorschriften hinzuwirken. Art. 10 skizziert das Verfahren,