Ergebnisbericht

5.3.3 Erteilung und Gültigkeit der Datenschutzzertifizierung (Art. 6)

Eine Organisation verlangt ein anderes System der Erteilung der Zertifizierung (privatim). Die Bestimmung sollte vorsehen, dass die Berichte dem EDÖB vorgelegt werden, der entweder ein offizielles DSQ vergibt (vgl. Ziff. 5.1.1) oder zumindest die Berichte materiell überprüft (ähnlich auch swico, vgl. Ziff. 5.3.4). Dafür wären ihm entsprechende Ressourcen zur Verfügung zu stellen. Gegen diese Lösung spricht sich ausdrücklich U. Belser aus.

Der swico weist darauf hin, dass in Absatz 1 auch die durch die Artikel 4 und 5 aufgestellten Anforderungen erwähnt werden sollten.

Zu Absatz 2 hält die FER fest, dass das Erfordernis einer jährliche Überprüfung im Verhältnis zur Gültigkeitsdauer von 3 Jahren exzessiv sei.

Der swico bemerkt zu Absatz 3, dass die Bestimmung in der Praxis zu erheblichen Problemen führen könnte, wenn sie so verstanden würde, dass die Zertifizierung für jede neue Auflage eines Softwarepakets wiederholt werden muss. Dies wäre mit einem sehr grossen Aufwand verbunden.

5.3.4 Mitteilung des Ergebnisses des Zertifizierungsverfahrens (Art. 8)

Zu Absatz 1 hält die swico fest, dass nicht die zertifizierte Stelle, sondern die Zertifizierungsstelle dem EDÖB die Ergebnisse mitteilen sollte. Der EDÖB muss über sämtlich von den Zertifizierungsstellen vergebenen DSQ unterrichtet werden, sonst droht ein Wildwuchs bei der Vergabe der DSQ.

Zu Absatz 2 schlägt die swico eine Änderung vor. Wenn die Zertifizierungsstelle bei ihrer Kontrolltätigkeit (Art. 6 Abs. 2) feststellt, dass die Zertifizierungsvoraussetzungen sich geändert haben, dann hat in jedem Fall die Zertifizierungsstelle den EDÖB zu informieren. Sonst wird die Umsetzung der Ergebnisse der Nachkontrollen dem Ermessen der zertifizierten Stellen anheim gestellt. Dem EDÖB soll die Möglichkeit eingeräumt werden, die ihm gemeldeten Bewertungsberichte und Zertifizierungsdokumente zu prüfen und gegebenenfalls dazu Empfehlungen abzugeben. Die DSQ sollen von den Zertifizierungsstellen erst ausgegeben werden dürfen, wenn die Bewertungsberichte und die Zertifizierungsunterlagen durch den EDÖB im Hinblick auf die Einhaltung der Datenschutzvorschriften geprüft worden sind.

Die FER verlangt die Streichung von Absatz 2. Die Zertifizierungsstelle als Vertragspartner des zertifizierten Unternehmens soll dieses nicht beim EDÖB "denunzieren" müssen. Diesbezüglich sollte dieselbe Lösung getroffen werden wie für den betrieblichen Datenschutzberater (Art. 12b E-revVDSG). Das zertifizierte Unternehmen sollte generell nicht der Aufsicht zweier Stellen (Zertifizierungsstelle und EDÖB) unterliegen.

Der swico schlägt betreffend Absatz 3 eine Erweiterung vor: Zertifizierungsberichte und Bewertungsunterlagen sollten nicht lediglich dem EDÖB mitgeteilt werden, sondern in vollständiger oder zusammengefasster Form online allgemein zugänglich gemacht werden. Jede interessierte Person sollte die Möglichkeit haben, vom EDÖB eine Kopie eines Bewertungsberichts oder der Zertifizierungsunterlagen zu verlangen.