Bei grossen Gesetzen wie OR und ZGB kann dies bis zu 30 Sekunden dauern

Verordnung
über Datenschutzzertifizierungen
(VDSZ)

vom 31. August 2022 (Stand am 1. September 2023)

Der Schweizerische Bundesrat,

gestützt auf Artikel 13 Absatz 2 des Datenschutzgesetzes vom 25. September 20201 (DSG),

verordnet:

1 SR 235.1

1. Abschnitt: Zertifizierungsstellen

Art. 1 Anforderungen  

1 Stel­len, die Da­ten­schutz­zer­ti­fi­zie­run­gen nach Ar­ti­kel 13 DSG durch­füh­ren (Zer­ti­fi­zie­rungs­stel­len), müs­sen ak­kre­di­tiert sein. Die Ak­kre­di­tie­rung rich­tet sich nach der Ak­kre­di­tie­rungs- und Be­zeich­nungs­ver­ord­nung vom 17. Ju­ni 19962 (AkkBV), so­weit die vor­lie­gen­de Ver­ord­nung kei­ne ab­wei­chen­den Vor­schrif­ten ent­hält.

2 Je ei­ne se­pa­ra­te Ak­kre­di­tie­rung ist er­for­der­lich für die Zer­ti­fi­zie­rung:

a.
der Or­ga­ni­sa­ti­on und der Ver­fah­ren (Ma­na­ge­ment­sys­te­me) im Zu­sam­men­hang mit Da­ten­be­ar­bei­tun­gen;
b.
von Pro­duk­ten, na­ment­lich Da­ten­be­ar­bei­tungs­sys­te­men oder -pro­gram­men und Hard­wa­re, so­wie von Dienst­leis­tun­gen und Pro­zes­sen im Zu­sam­men­hang mit Da­ten­be­ar­bei­tun­gen.

3 Die Zer­ti­fi­zie­rungs­stel­len müs­sen über ei­ne fest­ge­leg­te Or­ga­ni­sa­ti­on so­wie ein fest­ge­leg­tes Zer­ti­fi­zie­rungs­ver­fah­ren (Zer­ti­fi­zie­rungs­pro­gramm) ver­fü­gen.

4 Die Min­dest­an­for­de­run­gen an die Qua­li­fi­ka­ti­on des Per­so­nals, das Zer­ti­fi­zie­run­gen durch­führt, rich­ten sich nach dem An­hang. Die Zer­ti­fi­zie­rungs­stel­len müs­sen nach­wei­sen, dass sie über ent­spre­chend die­sen Kri­te­ri­en qua­li­fi­zier­tes Per­so­nal ver­fü­gen.

2 SR 946.512
Art. 2 Akkreditierungsverfahren  

Die Schwei­ze­ri­sche Ak­kre­di­tie­rungs­stel­le (SAS) zieht für das Ak­kre­di­tie­rungs­ver­fah­ren und die Nach­kon­trol­le so­wie für die Sis­tie­rung oder den Ent­zug ei­ner Ak­kre­di­tie­rung den Eid­ge­nös­si­schen Da­ten­schutz- und Öf­fent­lich­keits­be­auf­trag­ten (EDÖB) bei.
Art. 3 Ausländische Zertifizierungsstellen  

1 Aus­län­di­sche Zer­ti­fi­zie­rungs­stel­len, die auf schwei­ze­ri­schem Ter­ri­to­ri­um tä­tig sein wol­len, müs­sen nach­wei­sen, dass sie über ei­ne gleich­wer­ti­ge Qua­li­fi­ka­ti­on ver­fü­gen und die An­for­de­run­gen nach Ar­ti­kel 1 Ab­sät­ze 3 und 4 er­fül­len so­wie dass ih­nen die schwei­ze­ri­sche Da­ten­schutz­ge­setz­ge­bung hin­rei­chend be­kannt ist.

2 Der EDÖB an­er­kennt ei­ne aus­län­di­sche Zer­ti­fi­zie­rungs­stel­le nach Rück­spra­che mit der SAS.

3 Er kann die An­er­ken­nung be­fris­ten und mit Auf­la­gen ver­bin­den.

4 Er ent­zieht die An­er­ken­nung, wenn die Be­din­gun­gen und Auf­la­gen nicht mehr er­füllt sind.

2. Abschnitt: Gegenstand und Verfahren

Art. 4 Gegenstand der Zertifizierung  

1 Zer­ti­fi­zier­bar sind:

a.
Ma­na­ge­ment­sys­te­me;
b.
Pro­duk­te, Dienst­leis­tun­gen und Pro­zes­se.

2 Die Zer­ti­fi­zie­rung von Ma­na­ge­ment­sys­te­men kann die Ge­samt­heit des Sys­tems, ein­zel­ne Tei­le der Or­ga­ni­sa­ti­on oder ein­zel­ne, ab­grenz­ba­re Ver­fah­ren um­fas­sen.

3 Die Zer­ti­fi­zie­rung von Pro­duk­ten, Dienst­leis­tun­gen und Pro­zes­sen kann Fol­gen­des um­fas­sen:

a.
Pro­duk­te, die haupt­säch­lich der Be­ar­bei­tung von Per­so­nen­da­ten die­nen oder bei de­ren Be­nut­zung Per­so­nen­da­ten er­zeugt wer­den;
b.
Dienst­leis­tun­gen oder Pro­zes­se, die haupt­säch­lich der Be­ar­bei­tung von Per­so­nen­da­ten die­nen oder die Per­so­nen­da­ten er­zeu­gen.
Art. 5 Anforderungen an das Zertifizierungsprogramm  

1 Im Zer­ti­fi­zie­rungs­pro­gramm müs­sen min­des­tens ge­re­gelt sein:

a.
die Prüf­kri­te­ri­en und die sich dar­aus er­ge­ben­den An­for­de­run­gen an die zu zer­ti­fi­zie­ren­den Ge­gen­stän­de;
b.
der Ab­lauf des Ver­fah­rens, ins­be­son­de­re das Vor­ge­hen, wenn Un­re­gel­mäs­sig­kei­ten fest­ge­stellt wer­den.

2 Bei der Fest­le­gung des Zer­ti­fi­zie­rungs­pro­gramms muss Fol­gen­des be­rück­sich­tigt wer­den:

a.
die zu be­ar­bei­ten­den Per­so­nen­da­ten;
b.
die für die Be­ar­bei­tung der Per­so­nen­da­ten ver­wen­de­te elek­tro­ni­sche In­fra­struk­tur;
c.
die or­ga­ni­sa­to­ri­schen Mass­nah­men im Zu­sam­men­hang mit der Be­ar­bei­tung von Per­so­nen­da­ten.

3 Die Prüf­kri­te­ri­en müs­sen mit al­len Grund­sät­zen nach Ar­ti­kel 6 DSG über­ein­stim­men.

4 Das Zer­ti­fi­zie­rungs­pro­gramm muss den ge­mä­ss An­hang 2 AkkBV3 an­wend­ba­ren Nor­men so­wie wei­te­ren an­wend­ba­ren tech­ni­schen Nor­men ent­spre­chen.

3 SR 946.512
Art. 6 Anforderungen an die Zertifizierung von Managementsystemen  

1 Ge­gen­stand der Prü­fung von Ma­na­ge­ment­sys­te­men sind ins­be­son­de­re:

a.
die Da­ten­schutz­po­li­tik;
b.
die Do­ku­men­ta­ti­on von Zie­len, Ri­si­ken und Mass­nah­men zur Ge­währ­leis­tung des Da­ten­schut­zes und der Da­ten­si­cher­heit;
c.
die or­ga­ni­sa­to­ri­schen und tech­ni­schen Vor­keh­run­gen zur Um­set­zung der fest­ge­leg­ten Zie­le und Mass­nah­men, ins­be­son­de­re zur Be­he­bung von Män­geln.

2 Der EDÖB er­lässt Richt­li­ni­en über die Min­dest­an­for­de­run­gen an das Ma­na­ge­ment­sys­tem. Er be­rück­sich­tigt da­bei die in­ter­na­tio­na­len An­for­de­run­gen an die Er­rich­tung, den Be­trieb, die Über­wa­chung und die Ver­bes­se­rung sol­cher Ma­na­ge­ment­sys­te­me und ins­be­son­de­re die fol­gen­den tech­ni­schen Nor­men4:

a.
SN EN ISO 9001, Qua­li­täts­ma­na­ge­ment­sys­te­me, An­for­de­run­gen;
b.
SN EN ISO/IEC 27001, In­for­ma­ti­ons­tech­nik, IT-Si­cher­heits­ver­fah­ren, In­for­ma­ti­ons­si­cher­heits-Ma­na­ge­ment­sys­te­me, An­for­de­run­gen;
c.
SN EN ISO/IEC 27701, IT-Si­cher­heits­ver­fah­ren, Er­wei­te­rung zu ISO/IEC 27001 und ISO/IEC 27002 für das Ma­na­ge­ment von In­for­ma­tio­nen zum Schutz der Pri­vat­sphä­re, An­for­de­run­gen und Richt­li­ni­en.

4 Die auf­ge­führ­ten Nor­men kön­nen kos­ten­los ein­ge­se­hen und ge­gen Be­zah­lung be­zo­gen wer­den bei der Schwei­ze­ri­schen Nor­men-Ver­ei­ni­gung (SNV), Sul­zer­al­lee 70, 8404Win­ter­thur; www.snv.ch.
Art. 7 Anforderungen an die Zertifizierung von Produkten, Dienstleistungen und Prozessen  

1 Ge­gen­stand der Prü­fung von Pro­duk­ten, Dienst­leis­tun­gen und Pro­zes­sen ist ins­be­son­de­re die Ge­währ­leis­tung:

a.
der Ver­trau­lich­keit, In­te­gri­tät, Ver­füg­bar­keit und Nach­voll­zieh­bar­keit der be­ar­bei­te­ten Per­so­nen­da­ten;
b.
der Ver­mei­dung der Be­ar­bei­tung von Per­so­nen­da­ten, die im Hin­blick auf den Ver­wen­dungs­zweck des Pro­dukts, der Dienst­leis­tung oder des Pro­zes­ses nicht er­for­der­lich sind;
c.
der Trans­pa­renz der Be­ar­bei­tung von Per­so­nen­da­ten;
d.
von tech­ni­schen Mass­nah­men zur Un­ter­stüt­zung der An­wen­de­rin oder des An­wen­ders bei der Ein­hal­tung wei­te­rer Da­ten­schutz­grund­sät­ze und da­ten­schutz­recht­li­cher Pflich­ten, ins­be­son­de­re der Rech­te der be­trof­fe­nen Per­so­nen.

2 Der EDÖB er­lässt Richt­li­ni­en dar­über, nach wel­chen wei­te­ren da­ten­schutz­recht­li­chen Kri­te­ri­en die Prü­fung er­fol­gen muss.
Art. 8 Erteilung und Gültigkeit der Datenschutzzertifizierung  

1 Die Zer­ti­fi­zie­rungs­stel­le zer­ti­fi­ziert das Ma­na­ge­ment­sys­tem, das Pro­dukt, die Dienst­leis­tung oder den Pro­zess, wenn die da­ten­schutz­recht­li­chen An­for­de­run­gen und die Vor­aus­set­zun­gen nach die­ser Ver­ord­nung, nach den vom EDÖB er­las­se­nen Richt­li­ni­en oder nach an­de­ren gleich­wer­ti­gen Nor­men er­füllt sind. Die Zer­ti­fi­zie­rung kann mit Auf­la­gen ver­bun­den wer­den.

2 Die Zer­ti­fi­zie­rung ist drei Jah­re gül­tig. Die Zer­ti­fi­zie­rungs­stel­le muss jähr­lich prü­fen, ob die Vor­aus­set­zun­gen wei­ter­hin er­füllt sind.
Art. 9 Anerkennung ausländischer Datenschutzzertifizierungen  

Der EDÖB an­er­kennt nach Rück­spra­che mit der SAS aus­län­di­sche Zer­ti­fi­zie­run­gen, wenn ge­währ­leis­tet ist, dass die An­for­de­run­gen der schwei­ze­ri­schen Ge­setz­ge­bung er­füllt sind.
Art. 10 Ausnahme von der Pflicht zur Erstellung einer Datenschutz-Folgenabschätzung  

Der pri­va­te Ver­ant­wort­li­che kann von der Er­stel­lung ei­ner Da­ten­schutz-Fol­gen­ab­schät­zung ge­mä­ss Ar­ti­kel 22 Ab­satz 5 DSG nur ab­se­hen, wenn die Zer­ti­fi­zie­rung die Be­ar­bei­tung, die im Rah­men der Da­ten­schutz-Fol­gen­ab­schät­zung zu prü­fen wä­re, ein­sch­liesst.

3. Abschnitt: Sanktionen

Art. 11 Sistierung und Entzug der Zertifizierung  

1 Die Zer­ti­fi­zie­rungs­stel­le kann ei­ne Zer­ti­fi­zie­rung sis­tie­ren oder ent­zie­hen, ins­be­son­de­re wenn sie im Rah­men der Über­prü­fung schwe­re Män­gel fest­stellt. Ein schwe­rer Man­gel liegt ins­be­son­de­re vor, wenn:

a.
we­sent­li­che Vor­aus­set­zun­gen der Da­ten­schutz­zer­ti­fi­zie­rung nicht mehr er­füllt sind; oder
b.
ei­ne Zer­ti­fi­zie­rung ir­re­füh­rend oder miss­bräuch­lich ver­wen­det wird.

2 Bei Strei­tig­kei­ten über die Sis­tie­rung oder den Ent­zug rich­ten sich die Be­ur­tei­lung und das Ver­fah­ren nach den zi­vil­recht­li­chen Be­stim­mun­gen, die auf das Ver­trags­ver­hält­nis zwi­schen der Zer­ti­fi­zie­rungs­stel­le und dem Her­stel­ler von Da­ten­be­ar­bei­tungs­sys­te­men oder -pro­gram­men, dem Ver­ant­wort­li­chen oder dem Auf­trags­be­ar­bei­ter, der die Zer­ti­fi­zie­rung er­hal­ten hat, an­wend­bar sind.
Art. 12 Verfahren bei Aufsichtsmassnahmen des EDÖB  

1 Stellt der EDÖB bei ei­nem Her­stel­ler von Da­ten­be­ar­bei­tungs­sys­te­men oder -pro­gram­men, ei­nem Ver­ant­wort­li­chen oder ei­nem Auf­trags­be­ar­bei­ter, der über ei­ne Zer­ti­fi­zie­rung ver­fügt, schwe­re Män­gel fest, so in­for­miert er die Zer­ti­fi­zie­rungs­stel­le dar­über.

2 Die Zer­ti­fi­zie­rungs­stel­le for­dert den Her­stel­ler von Da­ten­be­ar­bei­tungs­sys­te­men oder -pro­gram­men, den Ver­ant­wort­li­chen oder den Auf­trags­be­ar­bei­ter un­ver­züg­lich auf, den Man­gel in­ner­halb von 30 Ta­gen, nach­dem sie vom EDÖB in­for­miert wur­de, zu be­he­ben.

3 Wird der Man­gel nicht in­ner­halb von 30 Ta­gen be­ho­ben, so sis­tiert die Zer­ti­fi­zie­rungs­stel­le die Zer­ti­fi­zie­rung. Be­steht kei­ne Aus­sicht dar­auf, dass in­ner­halb ei­nes an­ge­mes­se­nen Zeit­raums ein rechts­kon­for­mer Zu­stand ge­schaf­fen oder wie­der­her­ge­stellt wird, so wird die Zer­ti­fi­zie­rung ent­zo­gen.

4 Wird der Man­gel nicht in­ner­halb der Frist nach Ab­satz 2 be­ho­ben und hat die Zer­ti­fi­zie­rungs­stel­le die Zer­ti­fi­zie­rung nicht sis­tiert oder ent­zo­gen, so trifft der EDÖB ei­ne Mass­nah­me nach Ar­ti­kel 51 Ab­satz 1 DSG. Er kann na­ment­lich an­ord­nen, die Zer­ti­fi­zie­rung zu sis­tie­ren oder zu ent­zie­hen. Rich­tet er die Ver­fü­gung an die Zer­ti­fi­zie­rungs­stel­le, so in­for­miert er die SAS dar­über.

4. Abschnitt: Schlussbestimmungen

Art. 13 Aufhebung eines anderen Erlasses  

Die Ver­ord­nung über die Da­ten­schutz­zer­ti­fi­zie­run­gen vom 28. Sep­tem­ber 20075 wird auf­ge­ho­ben.

5 [AS 2007 5003; 2010 949; 2016 3447]
Art. 14 Inkrafttreten  

Die­se Ver­ord­nung tritt am 1. Sep­tem­ber 2023 in Kraft.

Anhang

(Art. 1 Abs. 4)

Mindestanforderungen an die Qualifikation des Personals

1 Zertifizierung von Managementsystemen

Das Personal, das Managementsysteme zertifiziert, muss gesamthaft über folgende Qualifikationen verfügen:

–
Kenntnisse im Bereich des Datenschutzrechts: mindestens zweijährige praktische Tätigkeit im Bereich des Datenschutzes oder erfolgreich abgeschlossene, mindestens einjährige Ausbildung an einer Hochschule oder Fachhochschule mit Schwerpunkt Datenschutzrecht;
–
Kenntnisse im Bereich der Informationssicherheit: mindestens zweijährige praktische Tätigkeit im Bereich der Informationssicherheit oder erfolgreich abgeschlossene, mindestens einjährige Ausbildung an einer Hochschule oder Fachhochschule mit Schwerpunkt Informationssicherheit;
–
Kenntnisse der Entwicklungen im Bereich des Datenschutzrechts und im Bereich der Informationssicherheit;
–
Ausbildung als Auditorin oder Auditor von Managementsystemen, die insbesondere die international massgebenden Anforderungen der folgenden Normen6 erfüllt:
–
SN EN ISO/IEC 17021-1, Konformitätsbewertung, Anforderungen an Stellen, die Managementsysteme auditieren und zertifizieren, Teil 1: Anforderungen,
–
SN EN ISO/IEC 17021-3, Konformitätsbewertung, Anforderungen an Stellen, die Managementsysteme auditieren und zertifizieren, Teil 3: Anforderungen an die Kompetenz für die Auditierung und Zertifizierung von Qualitätsmanagementsystemen, und
–
SN EN ISO/IEC 27006, Informationstechnik, IT-Sicherheitsverfahren, Anforderungen an Institutionen, die Audits und Zertifizierung von Informationssicherheits-Managementsystemen anbieten.

Die Zertifizierungsstelle muss für die einzelnen Bereiche über qualifiziertes Personal verfügen. Die Prüfung der Managementsysteme durch ein interdisziplinäres Team ist zulässig.

6 Die aufgeführten Normen können kostenlos eingesehen und gegen Bezahlung bezogen werden bei der Schweizerischen Normen-Vereinigung (SNV), Sulzerallee 70, 8404Winterthur; www.snv.ch.

2 Zertifizierung von Produkten, Dienstleistungen und Prozessen

Das Personal, das Produkte, Dienstleistungen oder Prozesse zertifiziert, muss gesamthaft über folgende Qualifikationen verfügen:

–
Kenntnisse im Bereich des Datenschutzrechts: mindestens zweijährige praktische Tätigkeit im Bereich des Datenschutzes oder erfolgreich abgeschlossene, mindestens einjährige Ausbildung an einer Hochschule oder Fachhochschule mit Schwerpunkt Datenschutzrecht;
–
Kenntnisse im Bereich der Informationssicherheit: mindestens zweijährige praktische Tätigkeit im Bereich der Informationssicherheit oder erfolgreich abgeschlossene, mindestens einjährige Ausbildung an einer Hochschule oder Fachhochschule mit Schwerpunkt Informationssicherheit;
–
Kenntnisse der Entwicklungen im Bereich des Datenschutzrechts und im Bereich der Informationssicherheit;
–
Fachkenntnisse bezüglich der Zertifizierung von Produkten, Dienstleistungen oder Prozessen, welche die Anforderungen des Zertifizierungsprogramms und der Richtlinien des EDÖB sowie die international massgebenden Anforderungen, insbesondere nach den technisch anwendbaren Normen und der Norm «SN EN ISO/IEC 170657, Konformitätsbewertung, Anforderungen an Stellen, die Produkte, Prozesse und Dienstleistungen zertifizieren», erfüllen.

Die Zertifizierungsstelle muss für die einzelnen Bereiche über qualifiziertes Personal verfügen. Die Prüfung von Produkten, Dienstleistungen und Prozessen durch ein interdisziplinäres Team ist zulässig.

7 Die aufgeführte Norm kann kostenlos eingesehen und gegen Bezahlung bezogen werden bei der Schweizerischen Normen-Vereinigung (SNV), Sulzerallee 70, 8404Winterthur; www.snv.ch.

Diese Seite ist durch reCAPTCHA geschützt und die Google Datenschutzrichtlinie und Nutzungsbedingungen gelten.

Feedback
Gesetzeskürzel Name
DE FR IT EN
DE FR IT EN
Laden