Zertifizierungsstellen-Akkreditierungs-Verordnung

Seite

2

von

2

Seite

1

von

1

Kurztitel

Zertifizierungsstellen-Akkreditierungs-Verordnung

Kundmachungsorgan

BGBl. II Nr. 79/2021

Typ

V

§/Artikel/Anlage

§ 0

Inkrafttretensdatum

18.02.2021

Abkürzung

ZeStAkk-V

Index

10/10 Grundrechte, Datenschutz, Auskunftspflicht

Langtitel

Verordnung der Datenschutzbehörde über die Anforderungen an die Akkreditierung einer Zertifizierungsstelle (Zertifizierungsstellen-Akkreditierungs-Verordnung – ZeStAkk-V)

StF: BGBl. II Nr. 79/2021

Änderung

BGBl. II Nr. 149/2021

Präambel/Promulgationsklausel

Auf Grund des § 21 Abs. 3 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 14/2019, wird verordnet

Schlagworte

ZeStAkk-V Novelle 2021 (BGBl. II Nr. 149/2021)

Zuletzt aktualisiert am

08.04.2021

Gesetzesnummer

20011478

Dokumentnummer

NOR40231364

§ 1. Diese Verordnung regelt in Konkretisierung des Art. 43 Abs. 2 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 04.05.2016 S. 1, in der Fassung der Berichtigung ABl. Nr. L 127 vom 23.05.2018 S. 2 und in Ergänzung der Vorgaben der Internationalen Norm ISO/IEC 17065:2012 Konformitätsbewertung – Anforderungen an Stellen, die Produkte, Prozesse und Dienstleistungen zertifizieren (im Folgenden: ISO/IEC 17065:2012), die Voraussetzungen für die Akkreditierung von Zertifizierungsstellen gemäß Art. 58 Abs. 3 lit. e DSGVO.

§ 2. Im Sinne dieser Verordnung bezeichnet der Begriff

§ 3. Mit der Akkreditierung als Zertifizierungsstelle wird diese ermächtigt, einem Zertifizierungswerber eine Zertifizierung zu erteilen.

§ 4. (1) Die Akkreditierung als Zertifizierungsstelle erfolgt auf Grund eines schriftlichen Antrages an die Datenschutzbehörde mit Bescheid. Antragslegimitiert sind ausschließlich juristische Personen im Sinne des Punktes 4.1.1 ISO/IEC 17065:2012 (Antragsteller).

(2) Dem Antrag sind sämtliche für das Verfahren erforderlichen Dokumente anzuschließen. Die Akkreditierung als Zertifizierungsstelle setzt den Nachweis der Einhaltung der Anforderungen des Art. 43 Abs. 2 DSGVO, der Internationalen Norm ISO/IEC 17065:2012 samt Anhang und der in dieser Verordnung genannten zusätzlichen Anforderungen voraus.

(3) Der Antrag hat jedenfalls den Nachweis der Voraussetzungen nach §§ 5 bis 19 und folgende Angaben zu enthalten

(4) Die Angaben gemäß Abs. 3 sind durch Vorlage geeigneter Dokumente zu bescheinigen, sofern sich deren Verfügbarkeit nicht aus allgemein zugänglichen öffentlichen Registern ergibt.

(5) Sofern der Antrag auf Akkreditierung nicht in deutscher Sprache erfolgt, sind die Angaben gemäß Abs. 3 durch Vorlage geeigneter Dokumente in beglaubigter Übersetzung zu bescheinigen.

(6) Die Akkreditierung wird für fünf Jahre – sofern sich der Zertifizierungsgegenstand auf die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO bezieht, für drei Jahre – erteilt und kann unter den in dieser Verordnung genannten Voraussetzungen verlängert werden.

(7) Zertifizierungsstellen müssen angemessene technische und organisatorische Maßnahmen treffen, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung von personenbezogenen Daten gemäß der DSGVO erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.

§ 5. (1) Die Zertifizierungsstelle hat ihre Tätigkeit nach Maßgabe des Punktes 4.2 ISO/IEC 17065:2012 unparteiisch durchzuführen.

(2) Jede Art von wirtschaftlicher Beziehung zwischen Zertifizierungsstelle und Zertifizierungswerber oder -inhaber kann die Unparteilichkeit ihrer Tätigkeit beeinträchtigen. Der Unparteilichkeit gemäß Abs. 1 steht jedenfalls entgegen, wenn zwischen der Zertifizierungsstelle und dem Zertifizierungswerber oder -inhaber ein Vertragsverhältnis im Sinne des Art. 26 Abs. 1 zweiter Satz oder Art. 28 Abs. 3 DSGVO besteht.

§ 6. (1) Zur fortlaufenden Gewährleistung der Unparteilichkeit gemäß § 5 hat die Zertifizierungsstelle nachzuweisen, dass ihre Organisation nach Maßgabe des Punktes 5.1 ISO/IEC 17065:2012 strukturiert und ein Mechanismus nach Maßgabe des Punktes 5.2 ISO/IEC 17065:2012 implementiert ist.

(2) Die Zertifizierungsstelle hat gemäß Art. 43 Abs. 2 lit. a DSGVO ihre Unabhängigkeit in Bezug auf den Zertifizierungsgegenstand nachzuweisen.

(3) Zum Nachweis der Unabhängigkeit gemäß Abs. 2 ist jedenfalls Folgendes anzugeben

(4) Die Zertifizierungsstelle hat gemäß Art. 43 Abs. 2 lit. e DSGVO nachzuweisen, dass ihre Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.

(5) Der Nachweis für Verhinderung von Interessenkonflikten gemäß Abs. 4 ist jedenfalls durch einen – gegenüber dem Personal der Zertifizierungsstelle für verbindlich zu erklärenden – Maßnahmenkatalog zu erbringen, der jedenfalls Folgendes vorzusehen hat

1. Unvereinbarkeitsbestimmungen, welche festlegen, dass das Personal der Zertifizierungsstelle keiner weiteren, mit der Ausübung ihrer Tätigkeit unvereinbaren Geschäftstätigkeit nachgeht,

2. Implementierung von Stellvertreterregelungen im Falle identifizierter Interessenkonflikte,

3. Verschwiegenheitsklauseln, sowie

4. Weisungsfreiheit gegenüber den Zertifizierungswerbern oder -inhabern.

§ 7. (1) Die Zertifizierungsstelle muss zusätzlich zu den Anforderungen des Punktes 6.1 ISO/IEC 17065:2012 über hinreichende personelle Ressourcen mit aktuellen Fachkenntnissen in den folgenden Bereichen verfügen und in der Lage sein, dies jederzeit nachzuweisen

(2) Die juristischen Fachkenntnisse sind nachzuweisen durch den erfolgreichen Abschluss eines mindestens acht Semester andauernden Studiums der Rechtswissenschaften oder des Wirtschaftsrechts an einer österreichischen oder einer als gleichwertig anerkannten ausländischen Universität oder einer Fachhochschule, das zur Führung des akademischen Grades Magister oder Master berechtigt.

(3) Die technischen Fachkenntnisse sind nachzuweisen durch

(4) Die Fachkenntnisse gemäß Abs. 2 und Abs. 3 können auch in Form einer mindestens fünfjährigen Berufserfahrung nachgewiesen werden, die allgemein juristische und technische Fachkenntnisse vermittelt.

(5) Die mit dem Zertifizierungsverfahren betrauten Personen müssen zusätzlich zu den Anforderungen gemäß Abs. 2 bis Abs. 4 über ausreichende Kenntnisse und eine mindestens zweijährige Berufserfahrung mit Auditierungen im Sinne des § 16 Abs. 3 verfügen.

(6) Die für die Entscheidung über die Zertifizierung verantwortliche Person oder verantwortlichen Personen im Sinne des § 13 müssen zusätzlich zu den Anforderungen gemäß Abs. 2 bis Abs. 4 über eine mindestens fünfjährige spezifische Berufserfahrung im Datenschutzrecht und im Bereich des technischen Datenschutzes verfügen.

(7) Das Fachwissen der Zertifizierungsstelle muss nicht in einer Person alleine vorhanden sein.

(8) Das Personal, welches im Zertifizierungsverfahren und bei der Entscheidung über die Zertifizierung eingesetzt wird, muss sich im Sinne des Art. 43 Abs. 2 lit. b DSGVO verpflichten, die gemäß Art. 42 Abs. 5 DSGVO genehmigten Kriterien einzuhalten.

(9) Die Zertifizierungsstelle hat durch Verfahren zu gewährleisten, dass das Fachwissen des Personals, insbesondere unter Berücksichtigung von Änderungen der Gesetzeslage, des Risikos für die Verarbeitung und des Standes der Technik, auf aktuellem Stand gehalten wird.

(10) Die Zertifizierungsstelle muss zu dem Personal, welches im Zertifizierungsverfahren und bei der Entscheidung über die Zertifizierung eingesetzt ist, Aufzeichnungen im Sinne des Punktes 6.1.2.2 ISO/IEC 17065:2012 führen.

§ 8. (1) Die Zertifizierung erfolgt auf Grundlage eines schriftlichen Antrags des Zertifizierungswerbers an die Zertifizierungsstelle. Die Zertifizierungsstelle hat nach Maßgabe von Punkt 7.2 ISO/IEC 17065:2012 Vorgaben für den Antrag festzulegen, der sämtliche für das Zertifizierungsverfahren erforderlichen Informationen und jedenfalls folgende Angaben zu enthalten hat

(2) Die Zertifizierungsstelle hat zur Abwicklung des Zertifizierungsverfahrens ein Zertifizierungsprogramm nach Maßgabe des Punktes 7.1 ISO/IEC 17065:2012 zu betreiben.

(3) Die Zertifizierungsstelle hat den schriftlichen Antrag des Zertifizierungswerbers nach Maßgabe des Punktes 7.3 ISO/IEC 17065:2012 zu bewerten, den Zertifizierungswerber innerhalb angemessener Frist sowie auf Anfrage über den Stand des Zertifizierungsverfahrens zu informieren.

(4) Sofern das Zertifizierungsverfahren ergibt, dass die Zertifizierung aller Voraussicht nach nicht erteilt werden kann, ist dem Zertifizierungswerber auf dessen Antrag und unter angemessener Fristsetzung die Möglichkeit zu geben, die dafür maßgebenden Umstände oder Gründe zu beseitigen.

(5) Die Zertifizierungsstelle hat eine Zertifizierungsentscheidung gemäß § 13 innerhalb einer angemessenen Frist zu treffen. Die Frist ist im Zertifizierungsprogramm festzulegen.

(6) Die Zertifizierungsstelle hat im Rahmen ihrer Tätigkeit die nicht diskriminierenden Bedingungen im Sinne des Punktes 4.4 ISO/IEC 17065:2012 zu erfüllen.

(7) Die Zertifizierungsstelle hat sämtliche Informationen zum Zertifizierungsprogramm im Sinne des Punktes 4.6 ISO/IEC 17065:2012 in allgemein zugänglicher Form zu veröffentlichen und auf Anfrage bereitzustellen.

§ 9. (1) Zwischen Zertifizierungsstelle und Zertifizierungswerber ist eine Zertifizierungsvereinbarung abzuschließen.

(2) In der Zertifizierungsvereinbarung ist zusätzlich zu den Anforderungen im Sinne des Punktes 4.1.2 ISO/IEC 17065:2012 jedenfalls Folgendes festzulegen

(3) Es sind geeignete Maßnahmen zu treffen, damit eine effektive Kommunikation zwischen Zertifizierungsstelle und berechtigten Dritten gewährleistet wird. Dazu zählt jedenfalls die laufende Dokumentation über

(4) Die Zertifizierungsstelle verpflichtet sich vertraglich gegenüber dem Zertifizierungswerber, die auf Grund ihrer Tätigkeit erhaltenen Informationen im Sinne des Punktes 4.5.1 ISO/IEC 17065:2012 vertraulich zu behandeln.

§ 10. (1) Im Falle einer Änderung der Zertifizierungsanforderungen hat die Zertifizierungsstelle den Zertifizierungsinhaber unverzüglich schriftlich zu verständigen und nach Gewährung einer angemessenen Frist für die Umsetzung der erforderlichen Änderungen diese auch zu überprüfen.

(2) Zusätzlich zu den Vorgaben des Punktes 7.10 ISO/IEC 17065:2012 umfassen Änderungen, die die Zertifizierungsanforderungen betreffen und von der Zertifizierungsstelle zu berücksichtigen sind, insbesondere die Änderung der Rechtslage, höchstgerichtliche Entscheidungen im Zusammenhang mit dem Datenschutz, den Erlass delegierter Rechtsakte der Kommission gemäß Art. 43 Abs. 8 und Abs. 9 DSGVO, sowie angenommene Dokumente des Europäischen Datenschutzausschusses.

§ 11. (1) Die Zertifizierungsstelle hat unter Einhaltung der Vorgaben des Punktes 7.4 ISO/IEC 17065:2012 standardisierte Bewertungsmethoden festzulegen, welche ihr die Beurteilung der Übereinstimmung der Verarbeitungsvorgänge mit den Zertifizierungskriterien ermöglicht. Zusätzlich zu den Vorgaben des Punktes 7.4.6 ISO/IEC 17065:2012 hat die Zertifizierungsstelle Modalitäten festzulegen, wie der Zertifizierungswerber über allfällige Abweichungen von Zerfizierungskriterien informiert wird. In diesem Rahmen sind jedenfalls Art und Zeitpunkt der Informationsmitteilung zu regeln.

(2) Die Zertifizierungsstelle hat in den standardisierten Bewertungsmethoden gemäß Abs. 1 festzulegen, inwiefern Instrumente wie Verhaltensregeln gemäß Art. 40 DSGVO, an denen der Zertifizierungswerber teilnimmt, oder Zertifizierungen gemäß Art. 42 DSGVO, die ein Zertifizierungswerber bereits besitzt, zum Nachweis der Übereinstimmung der Verarbeitungsvorgänge mit den Zertifizierungskriterien herangezogen werden können. Die Zertifizierungsstelle ist jedenfalls verpflichtet, die Konformität der Verarbeitungsvorgänge des Zertifizierungswerbers mit den Zertifizierungskriterien zu überprüfen. Der vollständige Ersatz dieser Überprüfung durch Verweis auf derartige Instrumente ist nicht möglich.

(3) Die Zertifizierungsstelle hat die Vorgaben des Punktes 6.2 ISO/IEC 17065:2012 für die Ressourcen der Evaluierung zu erfüllen.

(4) Die Betrauung von externen Sachverständigen zur Durchführung der erforderlichen Evaluierungstätigkeiten ist nach Maßgabe der folgenden Bestimmungen zulässig

(5) Die Zertifizierungsstelle hat, insbesondere unter Berücksichtigung von Änderungen der Rechtslage, des Risikos für die Verarbeitung, des Standes der Technik und der Kosten für die Durchführung technischer und organisatorischer Maßnahmen, Verfahren festzulegen, nach denen die Bewertungsmethoden gemäß Abs. 1 fortentwickelt werden.

(6) Die Zertifizierungsstelle hat gemäß Punkt 7.4.9 ISO/IEC 17065:2012 die Ergebnisse aller Evaluierungstätigkeiten in einem Verzeichnis zu dokumentieren und der Datenschutzbehörde jederzeit Zugang zu diesem zu gewähren.

§ 12. (1) Die Zertifizierungsstelle hat alle Informationen und Ergebnisse, die mit der Evaluierung im Zusammenhang stehen, im Sinne des Punktes 7.5 ISO/IEC 17065:2012 zu bewerten.

(2) Die Zertifizierungsstelle hat gemäß Art. 43 Abs. 2 lit. c DSGVO Verfahren für die Erteilung, die regelmäßige Überprüfung und den Widerruf von Zertifizierungen zu implementieren.

§ 13. (1) Die Zertifizierungsstelle hat die Entscheidung in Bezug auf die Erteilung oder Nichterteilung einer Zertifizierung anhand der Evaluierungsergebnisse gemäß § 11 und anhand der Bewertung gemäß § 12 und unter Einhaltung der Vorgaben des Punktes 7.6 ISO/IEC 17065:2012 zu treffen.

(2) Die Zertifizierungsstelle hat Verfahren festzulegen, wie die Unabhängigkeit und Verantwortung der entscheidungsbefugten Personen in Bezug auf jede Zertifizierungsentscheidung gewährleistet wird.

(3) Die Betrauung von externen Sachverständigen zur Durchführung der Zertifizierungsentscheidung ist nicht zulässig.

(4) Die Zertifizierungsstelle hat dem Zertifizierungswerber im Falle der Erteilung einer Zertifizierung eine schriftliche Bescheinigung auszustellen, die folgende Angaben enthält

(5) Im Fall der Nichterteilung einer Zertifizierung hat die Zertifizierungsstelle den Zertifizierungswerber schriftlich darüber zu informieren und die maßgeblichen Gründe für diese Entscheidung darzulegen.

(6) Die schriftliche Bescheinigung gemäß Abs. 4 und die schriftliche Entscheidung gemäß Abs. 5 ist von der gemäß § 4 Abs. 3 Z 1 lit. b dazu bevollmächtigten Person der Zertifizierungsstelle zu unterfertigen.

(7) Die Zertifizierungsstelle hat der Datenschutzbehörde die Gründe über Anfrage für die Erteilung oder Nichterteilung einer Zertifizierung mitzuteilen.

(8) Die Zertifizierungsstelle hat Anweisungen der Datenschutzbehörde, eine Zertifizierung nicht zu erteilen, wenn die Voraussetzungen für die Zertifizierung nicht erfüllt werden, zu befolgen. Der Zertifizierungswerber, der von dieser Anweisung betroffen ist, hat im Rahmen des Widerrufverfahrens Parteistellung.

§ 14. (1) Zusätzlich zur schriftlichen Bescheinigung gemäß § 13 Abs. 4 kann die Zertifizierungsstelle dem Zertifizierungswerber Konformitätszeichen in Form von Datenschutzsiegel und -prüfzeichen ausstellen, sofern dies in den anzuwendenden Zertifizierungskriterien gemäß Art. 42 Abs. 5 DSGVO vorgesehen ist.

(2) Die Zertifizierungsstelle hat die Verwendung von Konformitätszeichen gemäß Abs. 1 im Sinne des Punktes 4.1.3 ISO/IEC 17065:2012 zu überprüfen. Konformitätszeichen dürfen jedenfalls nur in Einklang mit Art. 42 und Art. 43 DSGVO verwendet werden.

§ 15. (1) Die Zertifizierungsstelle hat ein Verzeichnis über erteilte Zertifizierungen zu führen, welches zusätzlich zu den Vorgaben des Punktes 7.8 ISO/IEC 17065:2012 zumindest folgende Angaben enthält

(2) Die Zertifizierungsstelle hat Informationen zu zertifizierten Verarbeitungsvorgängen und eine Zusammenfassung der Zertifizierungsverfahren einschließlich der Bewertungsberichte zu dokumentieren, in geeigneter Form zu veröffentlichen und bereitzustellen.

(3) Die Zertifizierungsstelle stellt der Datenschutzbehörde auf Anfrage das vollständige Verzeichnis gemäß Abs. 1 zur Verfügung.

§ 16. (1) Die Zertifizierungsstelle hat nach Maßgabe des Punktes 7.9 ISO/IEC 17065:2012 geeignete Verfahren vorzusehen, die es ihr ermöglichen, die fortlaufende Einhaltung der Zertifizierungsanforderungen durch die Zertifizierungsinhaber zu überwachen (Überwachungsverfahren). Sämtliche mit den Überwachungsverfahren im Zusammenhang stehende Maßnahmen, einschließlich der Zeitraum der beabsichtigten Überwachung, sind zu dokumentieren.

(2) Ein Überwachungsverfahren ist geeignet, wenn festgelegt wird, wie die Überwachungstätigkeit in der Praxis durchgeführt und nach welchen Kriterien das Überwachungsverfahren evaluiert wird.

(3) Im Überwachungsverfahren sind in Einklang mit Art. 43 Abs. 2 lit. c DSGVO systematische, nach festgelegten Regeln durchgeführte Überprüfungen vorzusehen (Auditierungen). Es sind jedenfalls Festlegungen zu folgenden Kriterien zu treffen

(4) Die Eignung des Verfahrens gemäß Abs. 2 ist durch eine konzeptionelle Darstellung des Überwachungsverfahrens nachzuweisen.

(5) Die Zertifizierungsstelle hat Aufzeichnungen gemäß Punkt 7.12 ISO/IEC 17065:2012 zu führen, um nachzuweisen, dass der Zertifizierungsinhaber die Anforderungen an die Zertifizierung erfüllt. Der Datenschutzbehörde ist jederzeit Zugang zu diesen Aufzeichnungen zu gewähren.

§ 17. (1) Die Zertifizierungsstelle hat für den Fall der Beendigung, Einschränkung, Aussetzung oder des Widerrufs einer Zertifizierung die Voraussetzungen des Punktes 7.11 ISO/IEC 17065:2012 zu erfüllen.

(2) Die Zertifizierungsstelle hat der Datenschutzbehörde die Gründe für die Beendigung, Einschränkung, Aussetzung oder den Widerruf einer Zertifizierung mitzuteilen.

(3) Die Zertifizierungsstelle hat Anweisungen der Datenschutzbehörde, eine bereits erteilte Zertifizierung zu widerrufen, wenn die Voraussetzungen für die Zertifizierung nicht mehr erfüllt werden, zu befolgen. Der Zertifizierungsinhaber, der von dieser Anweisung betroffen ist, hat im Rahmen des Widerrufverfahrens Parteistellung.

§ 18. (1) Die Zertifizierungsstelle hat nach Maßgabe des Punktes 7.13 ISO/IEC 17065:2012 geeignete Verfahrensrichtlinien über die Behandlung der bei ihr einlangenden Beschwerden über Verstöße gegen oder die Umsetzung von Zertifizierungsanforderungen durch Zertifizierungsinhaber festzulegen und das diesbezügliche Verfahren und die Strukturen durch Vorlage geeigneter Dokumente nachzuweisen.

(2) Verfahrensrichtlinien sind geeignet, wenn jedenfalls Folgendes festgelegt wird

1.Angaben zu den beschwerdebefugten Personen (Beschwerdelegitimation),

(3) Die Verfahrensrichtlinien sind nach erfolgter Akkreditierung der Zertifizierungsstelle in allgemein zugänglicher Weise zu veröffentlichen.

(4) Die Zertifizierungsstelle hat ein Verzeichnis über die bei ihr eingegangenen Beschwerden und die ergriffenen Maßnahmen zu führen und der Datenschutzbehörde jederzeit Zugang zu diesem zu gewähren.

§ 19. (1) Die Zertifizierungsstelle hat nach Maßgabe der Punkte 8.1 bis 8.8 ISO/IEC 17065:2012 ein Managementsystem zu implementieren, welches ihr ermöglicht, den Nachweis dafür zu erbringen, dass sie die an sie gestellten Anforderungen und die ihr übertragenen Aufgaben und Befugnisse nach dieser Verordnung und nach der DSGVO erfüllen kann.

(2) Im Managementsystem sind zusätzlich zu den Vorgaben der Punkte 8.1 bis 8.8 ISO/IEC 17065:2012 vorzusehen

(3) Die Zertifizierungsstelle hat der Datenschutzbehörde jederzeit Zugang zu den Dokumenten des implementierten Managementsystems zu gewähren.

§ 20. Bei den in dieser Verordnung verwendeten personenbezogenen Bezeichnungen gilt die gewählte Form für alle Geschlechter.

§ 21. Verweisungen in dieser Verordnung auf andere Bundesgesetze sind als Verweisungen auf die jeweils geltende Fassung zu verstehen.

§ 22. Diese Verordnung tritt mit Ablauf des Tages der Kundmachung im Bundesgesetzblatt in Kraft.