Ergebnisbericht

Für die SGS ist nicht nachvollziehbar, weshalb ein eigener Artikel betreffend ausländische Zertifizierungsstellen vorgesehen wird. Die Organisation ist der Auffassung, die Akkreditierungsanforderungen seien bereits genügend klar geregelt.

5.3 Gegenstand und Verfahren (2. Abschnitt)

5.3.1 Zertifizierung von Organisation und Verfahren (Art. 4)

Der EDÖB und 5 Organisationen (Datenschutzforum, SGS, swico, FER, privatim) äusserten sich zum Absatz 3, der die Mindestanforderungen an ein Datenschutzmanagementsystem (DSMS) festlegt. In ihren Stellungnahmen vertraten sie die Ansicht, der Verweis auf die Norm ISO 27001: 2005 genüge nicht.

Primär wurde darauf hingewiesen, dass es bei der Datenschutzzertifizierung nicht nur um die Informationssicherheit gehen dürfe, sondern dass es darum gehen müsse, die Datenschutzgrundsätze korrekt umzusetzen (Datenschutzforum, SGS). Die erwähnte ISO-Norm enthalte diesbezüglich keine konkreten Anforderungen, zudem trügen auch die in Absatz 2 aufgeführten Voraussetzungen für ein DSMS wenig zur korrekten Umsetzung der Datenschutzgrundsätze bei (swico). Der EDÖB verlangt, die Befugnis zu erhalten, Richtlinien zu erlassen, wie dies für die Produktezertifizierung der Fall ist (vgl. Art. 5 Abs. 3). Privatim partage la même opinion que le préposé.

Weiter wurde festgehalten, dass bei der Zertifizierung von Organisation und Verfahren auch Qualitätsmanagementsysteme eine bedeutende Rolle spielen, weshalb gleichwertig auch auf ISO 9001 zu verweisen sei (privatim, Belser).

Die FER betrachtet die Bestimmung von Artikel 4 Absatz 3 als nicht genügend klar. Ein Unternehmen, das eine Zertifikation erlangen will, kann die dafür zu erfüllenden Anforderungen nur ersehen, wenn es sich die ISO-Norm beschafft oder den erläuternden Bericht zur Verordnung liest. Die Anforderungen sind zudem zu stark einschränkend, so dass das Zertifizierungsverfahren toter Buchstabe zu bleiben droht.

5.3.2 Zertifizierung von Produkten (Art. 5)

Lediglich der swico äusserte sich zur vorliegenden Bestimmung. Sie konnte bezüglich Umschreibung der zertifizierbaren Produkte (Abs. 1) nicht nachvollziehen, weshalb eine Beschränkung auf "Softwareprodukte oder deren Kombination mit bestimmten Hardwareprodukten" erfolgt. Die schleswig-holsteinische Datenschutz-Auditverordnung definiert dem gegenüber die zertifizierbaren informationstechnologischen Produkte viel allgemeiner als "Hardware, Software und automatisierte Verfahren".

Zu den Prüfungskriterien (Abs. 2) hielt die swico fest, dass die dort formulierten Anforderungen von den meisten Produkten erfüllt werden dürften. Wirklich datenschutzfördernd wäre dagegen die durch das zu zertifizierende System unterstützte Wahrung des Zweckbindungsgebots, die automatisierte Kontrolle bzw. Beschränkung der Verknüpfung von Elementen einer Datenbank, die systemgestützte Kontrolle der Bekanntgabe von Personendaten an Dritte, die Unterstützung des Anwenders bei der Erfüllung der Auskunftspflichtsowie Funktionen zur Umsetzung von Löschungs- und Berichtigungsansprüchen.