Die von der CSS angegebene Anzahl von +/- 130 Zugriffsberechtigten zum sensiblen Bereich des
VAD erscheinen dem EDÖB nach wie vor zu hoch. Die mit Blick auf die Verhältnismässigkeit und
Zweckmässigkeit richtige Zahl kann nur durch eine detaillierte und fundierte Analyse der internen Prozesse festgelegt werden. Eine solche Überprüfung ist wegen der Komplexität der Sache, der möglichen Veränderungen und dem hohen Gefährdungspotential in regelmässigen zeitlichen Abständen zu
wiederholen. Derartige Überprüfungen und Revisionen sind im Rahmen von Audits bzw. Zertifizierungsverfahren, wie sie das neue DSG vorsieht, an die Hand zu nehmen.