01/2025 – Fachartikel von Boris Wanzeck & Dominic Zbinden, Swiss Infosec AG

Die digitale Transformation stellt Unternehmen und Institutionen vor immer neue Herausforderungen in Bezug auf Datenschutz und Datensicherheit. Mit der am 1. September 2023 in Kraft getretenen Verordnung über Datenschutzzertifizierungen (VDSZ) hat die Schweiz nebst dem Datenschutzgesetz (DSG), der Datenschutzverordnung (DSV) und anderen Regularien ein weiteres Mittel , um einheitliche Standards für den Schutz von Personendaten zu schaffen.

In diesem Fachbeitrag möchten wir Ihnen einen Überblick über die Grundlagen, Anforderungen und Ziele der VDSZ geben. Wie kann Ihr Unternehmen von einer Zertifizierung profitieren? Welche Voraussetzungen müssen erfüllt sein? Und wie trägt die Verordnung dazu bei, das Vertrauen in digitale Dienstleistungen zu stärken?

Erfahren Sie in diesem Fachbeitrag alles Wichtige rund um das Thema Datenschutzzertifizierungen und wie Sie die Regelungen der VDSZ für Ihre Organisation optimal nutzen können.

1 Gesetzliche Ausgangslage

Hersteller von Datenbearbeitungssystemen oder -programmen sowie die Verantwortlichen und Auftragsbearbeiter können ihre Systeme, Produkte, Prozesse, Hardware und Dienstleistungen einer Bewertung durch eine anerkannte unabhängige Zertifizierungsstelle unterziehen (Art. 13 Abs. 1 DSG). Ein Unternehmen kann eine Zertifizierung nur bei einer akkreditierten Stelle absolvieren. Die Akkreditierung erfolgt durch die Schweizerische Akkreditierungsstelle (SAS), welche für das Verfahren, die Nachkontrolle sowie für Sanktionen den EDÖB beizieht (Art. 2 VDSZ).

Auch ausländische Zertifizierungen können unter Umständen in der Schweiz anerkannt werden. Die Anerkennung ausländischer Zertifizierungsstellen sowie Datenschutzzertifizierungen erfolgt dabei durch den EDÖB in Rücksprache mit der Schweizerischen Akkreditierungsstelle (Art. 3 Abs. 2 und Art. 9 VDSZ).

Eine Zertifizierung soll insbesondere die Transparenz fördern, indem Datenbearbeitungsvorgänge, die zunehmend komplexer werden, von einer unabhängigen Stelle analysiert werden. Dies soll den von einer Datenbearbeitung betroffenen Personen die Möglichkeit geben, sich bewusst für datenschutzfreundliche Systeme, Produkte oder Dienstleistungen zu entscheiden, womit der Datenschutz und die Datensicherheit gesamthaft gestärkt werden.

2 Wichtige Änderungen

Art. 6 VDSZ erwähnt die Norm ISO/IEC 27701, die eine Erweiterung der Norm für Informationssicherheitsmanagementsysteme ISO/IEC 27001 ist. Eine Zertifizierung nach ISO/IEC 27701 kann jedoch nur erlangt werden, wenn eine Organisation auch nach ISO/IEC 27001 zertifiziert ist. Hier könnte es sich anbieten, beide Zertifizierungen zeitnah zu erreichen. Mit der Erweiterung des ISO/IEC 27001 um datenschutzrelevante Komponenten (ISO/IEC 27701) soll der Datenschutz bei der Erbringung von Dienstleistungen noch weiter verbessert werden.

Ferner wurden in der VDSZ einige Begrifflichkeiten angepasst. Die Akkreditierung nach Art. 1 Buchstabe a VDSZ erfolgt auf Basis der SN EN ISO/IEC 170211 und SN EN ISO/IEC 27006 (Informationssicherheit, Cybersicherheit und Datenschutz – Anforderungen an Stellen, die Informationssicherheitsmanagementsysteme auditieren und zertifizieren – Teil 1: Allgemeines) sowie auf einem entsprechenden Zertifizierungsprogramm. Die Vorgaben für Art. 1 Buchstabe b VDSZ werden von der SN EN ISO/IEC 17065 und einem entsprechenden Zertifizierungsprogramm abgedeckt.

Der Begriff «Prozesse» wurde hinzugefügt, um die Übereinstimmung mit verschiedenen ISO-Normen zu gewährleisten, insbesondere mit der Norm SN EN ISO 9001 (Qualitätsmanagementsysteme – Anforderungen), die im Allgemeinen zwischen dem Prozess («Inputs, Outputs, Aktivitäten») und dem Verfahren («Beschreibung» dieser Elemente) unterscheidet. Der Begriff «Zertifizierungsprogramm» ersetzt den Begriff «Kontrollprogramm», um eine Terminologie zu verwenden, die den ISO-Normen entspricht.

Weiterhin besteht in der Schweiz, abgesehen von privatwirtschaftlichen Modellen, zudem kein allgemein gültiges offizielles staatliches Qualitätszeichen im Bereich Datenschutz. Die Delegationsnorm in Art. 13 Abs. 2 DSG besteht weiterhin, jedoch wurde keine ausführende Regelung dazu in der VDSZ erlassen.

3 Zielgruppe

Eine generelle Pflicht zur Durchführung einer Zertifizierung für gewisse Datenbearbeitungen (bspw. Bearbeitungen mit einem hohen Risiko) wollte der Schweizer Gesetzgeber nicht, weil auch die DSGVO eine solche nicht verlangt. Die Zertifizierung spielt in der Praxis eine wichtige Rolle, wo Rechtsvorschriften eine Zertifizierung verlangen, dies bspw., wenn eine solche im Rahmen von Ausschreibungen verlangt wird oder wo sich ein Anbieter davon verspricht, den eigenen Ruf fördern zu können. Ein Beispiel stellt Art. 59a Abs. 6 der Verordnung über die Krankenversicherung (KVV; SR 832.102) dar. Jede Datenannahmestelle eines Krankengrundversicherers muss zertifiziert sein.

4 Zertifizierungsprozess

Der Gegenstand der Zertifizierung richtet sich nach Art. 4 ff. VDSZ. Im datenschutzrechtlichen Bereich können Managementsysteme, Produkte, Dienstleistungen und Prozesse zertifiziert werden, obwohl letztere nicht explizit im DSG erwähnt werden. Durch die Aufnahme von Prozessen in die Verordnung wird einerseits der Norm SN EN ISO/IEC 17021-1 (Konformitätsbewertung – Anforderungen an Stellen, die Managementsysteme auditieren und zertifizieren – Teil 1: Anforderungen) und andererseits der Norm SN EN ISO/IEC 17065 (Konformitätsbewertung – Anforderung an Stellen, die Produkte, Prozesse und Dienstleistungen zertifizieren) Rechnung getragen. Des Weiteren kann, obgleich eine explizite Erwähnung im Gesetz fehlt, auch eine Datenbearbeitung Gegenstand einer Zertifizierung sein. Unter Produkten werden Internetbrowser, Software für den Betrieb von Webservern, Applikationen zur Betreibung von Websites, aber z.B. auch Logistiksysteme, die auf RFID- oder GPS-Technologien beruhen, verstanden. Dienstleistungen und Prozesse können zertifiziert werden, wenn sie hauptsächlich der Bearbeitung von Personendaten dienen oder Personendaten erzeugen.

Drei Aspekte sind für die Ausarbeitung eines organisationsspezifischen Zertifizierungsprozesses und der Verfahren massgebend: erstens die von der Bearbeitung betroffenen Personendaten (dabei handelt es sich um den sachlichen Geltungsbereich), zweitens die für die Bearbeitung der Personendaten verwendete elektronische Infrastruktur (namentlich die technischen Systeme wie Hard- und Software) und schliesslich die organisatorischen Massnahmen im Zusammenhang mit der Bearbeitung von Personendaten. Die Berücksichtigung und Gewichtung der obengenannten Aspekte kann je nach Zertifizierungsgegenstand variieren. Bei der Festlegung der Schritte (Prüfkriterien, Verfahren etc.) sind zudem die datenschutzrechtlichen Grundsätze zu berücksichtigen, insbesondere die Rechtmässigkeit, die Verhältnismässigkeit und die Zweckbindung der Bearbeitung sowie die Richtigkeit der Daten.

Wird den regulatorischen Anforderungen genüge getan, wird eine Zertifizierung mit einer Gültigkeit von drei Jahren ausgestellt. Es besteht die Möglichkeit, dass die Zertifizierung mit Auflagen verbunden werden kann. Dadurch wird es dem Hersteller von Datenbearbeitungssystemen oder -programmen sowie dem Verantwortlichen oder dem Auftragsbearbeiter ermöglicht, sich im Hinblick auf die (Re)-Zertifizierung eines Managementsystems, eines Produkts, einer Dienstleistung oder eines Prozesses innerhalb einer bestimmten Frist auf den erforderlichen Stand zu bringen.

Stellt der EDÖB schwere Mängel bei einem zertifizierten Hersteller von Datenbearbeitungssystemen oder -programmen, einem Verantwortlichen oder einem Auftragsbearbeiter fest, informiert er die Zertifizierungsstelle. Behebt der Verantwortliche den Mangel nicht innert 30 Tagen und leitet die Zertifizierungsstelle keine Massnahmen ein, kann der EDÖB selbst die Zertifizierung sistieren oder entziehen (Art. 12 Abs. 4 VDSZ).

5 Wirkung einer Zertifizierung

Für private Verantwortliche wird eine Ausnahme von der Pflicht zur Erstellung einer Datenschutz Folgenabschätzung nach Art. 22 Abs. 5 DSG statuiert, falls eine Zertifizierung beim entsprechenden System, Produkt oder Dienstleistung durchgeführt wurde. Zudem erlaubt die DSV bei Vorliegen einer Zertifizierung sodann die Bekanntgabe von Personendaten ins Ausland (siehe Art. 12 DSV der sich auf Art. 16 Abs. 3 DSG stützt), falls der Verantwortliche oder Auftragsbearbeiter im Drittstaat sich verbindlich und durchsetzbar zur Anwendung der enthaltenen Massnahmen verpflichtet. Diese ersetzt die im alten Recht bestehende Möglichkeit, von der Pflicht zur Anmeldung von Datensammlungen entbunden zu werden. Dieser Ansatz wurde im aktuellen DSG nicht weiterverfolgt.

Des Weiteren eröffnet eine Zertifizierung den Herstellern und Verantwortlichen die Möglichkeit, das Einhalten des Datenschutzgesetzes zu dokumentieren und zu kommunizieren. Dadurch wird das Verantwortungsbewusstsein der Beteiligten gestärkt.

6 Weitere nützliche Hinweise

Eine Kombination der VDSZ mit den Managementsystemnormen ISO/IEC 9001 (Qualitätsmanagementsystem) und ISO/IEC 27001 (Informationssicherheitsmanagementsystem) ist möglich. In der VDSZ sind sämtliche Anforderungen des ISO/IEC 27001:2022 enthalten.

Ein Managementsystem (MS) nach Art. 6 VDSZ genügt den Mindestanforderungen, wenn es die bestehenden internationalen Normen erfüllt, insbesondere die Norm ISO/IEC 27001. Die Mindestanforderungen werden in Punkt 4 der Richtlinien über die Mindestanforderungen an ein Managementsystem aufgelistet. Die Zertifizierung eines Datenschutzmanagementsystems unterstützt die Einhaltung und Beachtung der zentralen Datenschutzgrundsätze nach Art. 6 ff. DSG (z.B. Zweckbindung, Datenrichtigkeit und Datensicherheit), die Verbesserung der Prozessqualität und Erhöhung der Kundenzufriedenheit. Eine Zertifizierung verbessert weiter das Risikomanagement und die kontinuierliche Verbesserung sowie die Einhaltung der rechtlichen und regulatorischen Anforderungen und steigert die interne Motivation und das Mitarbeiterengagement, das Vertrauen bei Geschäftspartnern und Stakeholdern und die Transparenz und Nachvollziehbarkeit.

Nützliche Links:

• Richtlinien über die Mindestanforderungen an ein Managementsystem (Richtlinien über die Zertifizierung von Managementsystemen)
• Richtlinien über die weiteren datenschutzrechtlichen Kriterien für die Prüfung zu den Anforderungen an die Zertifizierung von Produkten, Dienstleistungen und Prozessen
• SR 235.13 – Verordnung vom 31. August 2022 über Datenschutzzertifizierungen (VDSZ)

Kontaktieren Sie uns und erfahren Sie in einem unverbindlichen Beratungsgespräch, was unsere Spezialistinnen und Spezialisten in Sachen Datenschutz für Sie tun können: +41 41 984 12 12, infosec@infosec.ch

Swiss Infosec AG; 01.01.2025
Kompetenzzentrum Datenschutz

Autoren: Boris Wanzeck & Dominic Zbinden