Verordnung
über Datenschutzzertifizierungen
(VDSZ)

Stellen, die Datenschutzzertifizierungen nach Artikel 13 DSG durchführen (Zertifizierungsstellen), müssen akkreditiert sein. Die Akkreditierung richtet sich nach der Akkreditierungs- und Bezeichnungsverordnung vom 17. Juni 1996² (AkkBV), soweit die vorliegende Verordnung keine abweichenden Vorschriften enthält.

Je eine separate Akkreditierung ist erforderlich für die Zertifizierung:

1. der Organisation und der Verfahren (Managementsysteme) im Zusammenhang mit Datenbearbeitungen;

2. von Produkten, namentlich Datenbearbeitungssystemen oder -programmen und Hardware, sowie von Dienstleistungen und Prozessen im Zusammenhang mit Datenbearbeitungen.

Die Zertifizierungsstellen müssen über eine festgelegte Organisation sowie ein festgelegtes Zertifizierungsverfahren (Zertifizierungsprogramm) verfügen.

Die Mindestanforderungen an die Qualifikation des Personals, das Zertifizierungen durchführt, richten sich nach dem Anhang. Die Zertifizierungsstellen müssen nachweisen, dass sie über entsprechend diesen Kriterien qualifiziertes Personal verfügen.

Die Schweizerische Akkreditierungsstelle (SAS) zieht für das Akkreditierungsverfahren und die Nachkontrolle sowie für die Sistierung oder den Entzug einer Akkreditierung den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) bei.

Ausländische Zertifizierungsstellen, die auf schweizerischem Territorium tätig sein wollen, müssen nachweisen, dass sie über eine gleichwertige Qualifikation verfügen und die Anforderungen nach Artikel 1 Absätze 3 und 4 erfüllen sowie dass ihnen die schweizerische Datenschutzgesetzgebung hinreichend bekannt ist.

Der EDÖB anerkennt eine ausländische Zertifizierungsstelle nach Rücksprache mit der SAS.

Er kann die Anerkennung befristen und mit Auflagen verbinden.

Er entzieht die Anerkennung, wenn die Bedingungen und Auflagen nicht mehr erfüllt sind.

Zertifizierbar sind:

1. Managementsysteme;

2. Produkte, Dienstleistungen und Prozesse.

Die Zertifizierung von Managementsystemen kann die Gesamtheit des Systems, einzelne Teile der Organisation oder einzelne, abgrenzbare Verfahren umfassen.

Die Zertifizierung von Produkten, Dienstleistungen und Prozessen kann Folgendes umfassen:

1. Produkte, die hauptsächlich der Bearbeitung von Personendaten dienen oder bei deren Benutzung Personendaten erzeugt werden;

2. Dienstleistungen oder Prozesse, die hauptsächlich der Bearbeitung von Personendaten dienen oder die Personendaten erzeugen.

Im Zertifizierungsprogramm müssen mindestens geregelt sein:

1. die Prüfkriterien und die sich daraus ergebenden Anforderungen an die zu zertifizierenden Gegenstände;

2. der Ablauf des Verfahrens, insbesondere das Vorgehen, wenn Unregelmässigkeiten festgestellt werden.

Bei der Festlegung des Zertifizierungsprogramms muss Folgendes berücksichtigt werden:

1. die zu bearbeitenden Personendaten;

2. die für die Bearbeitung der Personendaten verwendete elektronische Infrastruktur;

3. die organisatorischen Massnahmen im Zusammenhang mit der Bearbeitung von Personendaten.

Die Prüfkriterien müssen mit allen Grundsätzen nach Artikel 6 DSG übereinstimmen.

Das Zertifizierungsprogramm muss den gemäss Anhang 2 AkkBV³ anwendbaren Normen sowie weiteren anwendbaren technischen Normen entsprechen.

Gegenstand der Prüfung von Managementsystemen sind insbesondere:

1. die Datenschutzpolitik;

2. die Dokumentation von Zielen, Risiken und Massnahmen zur Gewährleistung des Datenschutzes und der Datensicherheit;

3. die organisatorischen und technischen Vorkehrungen zur Umsetzung der festgelegten Ziele und Massnahmen, insbesondere zur Behebung von Mängeln.

Der EDÖB erlässt Richtlinien über die Mindestanforderungen an das Managementsystem. Er berücksichtigt dabei die internationalen Anforderungen an die Errichtung, den Betrieb, die Überwachung und die Verbesserung solcher Managementsysteme und insbesondere die folgenden technischen Normen⁴:

1. SN EN ISO 9001, Qualitätsmanagementsysteme, Anforderungen;

2. SN EN ISO/IEC 27001, Informationstechnik, IT-Sicherheitsverfahren, Informationssicherheits-Managementsysteme, Anforderungen;

3. SN EN ISO/IEC 27701, IT-Sicherheitsverfahren, Erweiterung zu ISO/IEC 27001 und ISO/IEC 27002 für das Management von Informationen zum Schutz der Privatsphäre, Anforderungen und Richtlinien.

Gegenstand der Prüfung von Produkten, Dienstleistungen und Prozessen ist insbesondere die Gewährleistung:

1. der Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit der bearbeiteten Personendaten;

2. der Vermeidung der Bearbeitung von Personendaten, die im Hinblick auf den Verwendungszweck des Produkts, der Dienstleistung oder des Prozesses nicht erforderlich sind;

3. der Transparenz der Bearbeitung von Personendaten;

4. von technischen Massnahmen zur Unterstützung der Anwenderin oder des Anwenders bei der Einhaltung weiterer Datenschutzgrundsätze und datenschutzrechtlicher Pflichten, insbesondere der Rechte der betroffenen Personen.

Der EDÖB erlässt Richtlinien darüber, nach welchen weiteren datenschutzrechtlichen Kriterien die Prüfung erfolgen muss.

Die Zertifizierungsstelle zertifiziert das Managementsystem, das Produkt, die Dienstleistung oder den Prozess, wenn die datenschutzrechtlichen Anforderungen und die Voraussetzungen nach dieser Verordnung, nach den vom EDÖB erlassenen Richtlinien oder nach anderen gleichwertigen Normen erfüllt sind. Die Zertifizierung kann mit Auflagen verbunden werden.

Die Zertifizierung ist drei Jahre gültig. Die Zertifizierungsstelle muss jährlich prüfen, ob die Voraussetzungen weiterhin erfüllt sind.

Der EDÖB anerkennt nach Rücksprache mit der SAS ausländische Zertifizierungen, wenn gewährleistet ist, dass die Anforderungen der schweizerischen Gesetzgebung erfüllt sind.

Der private Verantwortliche kann von der Erstellung einer Datenschutz-Folgenabschätzung gemäss Artikel 22 Absatz 5 DSG nur absehen, wenn die Zertifizierung die Bearbeitung, die im Rahmen der Datenschutz-Folgenabschätzung zu prüfen wäre, einschliesst.

Die Zertifizierungsstelle kann eine Zertifizierung sistieren oder entziehen, insbesondere wenn sie im Rahmen der Überprüfung schwere Mängel feststellt. Ein schwerer Mangel liegt insbesondere vor, wenn:

1. wesentliche Voraussetzungen der Datenschutzzertifizierung nicht mehr erfüllt sind; oder

2. eine Zertifizierung irreführend oder missbräuchlich verwendet wird.

Bei Streitigkeiten über die Sistierung oder den Entzug richten sich die Beurteilung und das Verfahren nach den zivilrechtlichen Bestimmungen, die auf das Vertragsverhältnis zwischen der Zertifizierungsstelle und dem Hersteller von Datenbearbeitungssystemen oder -programmen, dem Verantwortlichen oder dem Auftragsbearbeiter, der die Zertifizierung erhalten hat, anwendbar sind.

Stellt der EDÖB bei einem Hersteller von Datenbearbeitungssystemen oder -programmen, einem Verantwortlichen oder einem Auftragsbearbeiter, der über eine Zertifizierung verfügt, schwere Mängel fest, so informiert er die Zertifizierungsstelle darüber.

Die Zertifizierungsstelle fordert den Hersteller von Datenbearbeitungssystemen oder -programmen, den Verantwortlichen oder den Auftragsbearbeiter unverzüglich auf, den Mangel innerhalb von 30 Tagen, nachdem sie vom EDÖB informiert wurde, zu beheben.

Wird der Mangel nicht innerhalb von 30 Tagen behoben, so sistiert die Zertifizierungsstelle die Zertifizierung. Besteht keine Aussicht darauf, dass innerhalb eines angemessenen Zeitraums ein rechtskonformer Zustand geschaffen oder wiederhergestellt wird, so wird die Zertifizierung entzogen.

Wird der Mangel nicht innerhalb der Frist nach Absatz 2 behoben und hat die Zertifizierungsstelle die Zertifizierung nicht sistiert oder entzogen, so trifft der EDÖB eine Massnahme nach Artikel 51 Absatz 1 DSG. Er kann namentlich anordnen, die Zertifizierung zu sistieren oder zu entziehen. Richtet er die Verfügung an die Zertifizierungsstelle, so informiert er die SAS darüber.

Die Verordnung über die Datenschutzzertifizierungen vom 28. September 2007⁵ wird aufgehoben.

Diese Verordnung tritt am 1. September 2023 in Kraft.