2C_79/2016

2C_79/2016, 2C_80/2016

Urteil vom 10. April 2017

II. öffentlich-rechtliche Abteilung

Besetzung
Bundesrichter Seiler, Präsident,
Bundesrichter Zünd,
Bundesrichter Donzallaz,
Bundesrichter Stadelmann,
Bundesrichter Haag,
Gerichtsschreiber Errass.

Verfahrensbeteiligte
2C_79/2016
SUVA, Abteilung Arbeitssicherheit,
vertreten durch die Rechtsabteilung,
Fluhmattstrasse, 6002 Luzern,
Beschwerdeführerin,

gegen

A.________ AG,
Beschwerdegegnerin,
vertreten durch Rechtsanwalt Hans-Joachim Hess,

Eidgenössisches Departement für Wirtschaft, Bildung und Forschung, Bundeshaus Ost, 3003 Bern,

und

2C_80/2016
Eidgenössisches Departement für Wirtschaft, Bildung und Forschung, Bundeshaus Ost, 3003 Bern
Beschwerdeführer

gegen

A.________ AG,
Beschwerdegegnerin,
vertreten durch Rechtsanwalt Hans-Joachim Hess,

SUVA, Abteilung Arbeitssicherheit,
vertreten durch die Rechtsabteilung,
Fluhmattstrasse, 6002 Luzern.

Gegenstand
Marktüberwachung PrSG; Verfügung der SUVA vom 31. März 2014,

Beschwerden gegen das Urteil des Bundesverwaltungsgerichts, Abteilung III, vom 4. Dezember 2015.

Sachverhalt:

A.

A.a. Die A.________ AG mit Sitz in B.________ bezweckt u.a. den Handel mit und die Vermietung von Materialien, Einrichtungen, Maschinen und Geräten für die Bautechnik. Sie bringt u.a. Schnellwechseleinrichtungen des Typs xx in Verkehr.

A.b. Im Juni 2013 eröffnete die SUVA gegenüber diversen Inverkehrbringern von Schnellwechseleinrichtungen (nachfolgend: SWE), darunter auch die A.________ AG, ein Produktkontrollverfahren gemäss Art. 10 des Bundesgesetzes über die Produktesicherheit (PrSG, SR 930.11) mit der Begründung, es hätten sich zwei tragische Unfälle im Zusammenhang mit SWE für Bagger ereignet. Die SUVA forderte die A.________ AG auf, Angaben und Unterlagen über alle SWE-Typen, die von ihr in Verkehr gebracht würden, einzureichen. Die A.________ AG reichte am 30. Juli 2013 Unterlagen zu drei verschiedenen, von der Firma C.________ GmbH mit Sitz in Österreich produzierten Schnellwechseleinrichtungen der Typen y1, y2 und y3 ein. Am 19. Dezember 2013 reichte sie zudem die Baumusterprüfungsbestätigung der deutschen gesetzlichen Unfallversicherung für die Typen y4, y5 und y6 ein. Am 31. März 2014 verfügte die SUVA wie folgt:

"Der A.________ AG wird das weitere Inverkehrbringen (gemäss Erwägung 2.8) von Schnellwechseleinrichtungen xx und vergleichbare SWE (gemäss Erwägung 2.7) ab dem 01.01.2016 verboten, solange diese nicht der Maschinenrichtlinie 2006/42/EG, insbesondere nicht den Anforderungen gemäss Erwägung 2.1-2.4 entsprechen".

Gleichzeitig entzog sie einer allfälligen Beschwerde die aufschiebende Wirkung. In den Erwägungen 2.1-2.4 führte die SUVA aus, gemäss Anhang I der Maschinenrichtlinie sei eine Risikobeurteilung vorgeschrieben. Die Anwendung harmonisierter Normen erleichtere diese Risikobeurteilung, entbinde aber nicht von der Pflicht, eine solche durchzuführen. Die Norm SN EN 474-1 konkretisiere zwar einige Anforderungen der Maschinenrichtlinie für Schnellwechseleinrichtungen, doch seien damit nicht alle Risiken abgedeckt. Trotz Einhaltung der Norm SN EN 474-1 gingen von den SWE relevante Gefährdungen aus, die durch fehlerhafte oder unvollständige Verriegelung der SWE in Kombination mit einem Fehlverhalten des Maschinenführers entstünden. Dadurch könne das Anbaugerät herunterfallen. Da solches Fehlverhalten vernünftigerweise vorhersehbar sei, was durch etliche bekannte Ereignisse und Unfälle belegt sei, müssten dagegen geeignete Schutzmassnahmen getroffen werden. In erster Linie müssten die Risiken durch die Konstruktion beseitigt oder minimiert werden; technische Lösungen würden zum Teil bereits erfolgreich in Verkehr gebracht.

B.

Am 22. April 2014 erhob die A.________ AG Beschwerde an das Bundesverwaltungsgericht mit dem Antrag, die Verfügung vom 31. März 2014 sei aufzuheben. Zudem beantragte sie Wiederherstellung der aufschiebenden Wirkung.
Mit Zwischenverfügung vom 15. Januar 2015 hiess das Bundesverwaltungsgericht das Gesuch der Beschwerdeführerin um Wiederherstellung der aufschiebenden Wirkung gut.
Mit Urteil C-2330/2014 vom 4. Dezember 2015 hiess das Bundesverwaltungsgericht sodann die Beschwerde gut und hob die angefochtene Verfügung auf.

C.

C.a. Die SUVA erhebt mit Eingabe vom 25. Januar 2016 an das Bundesgericht Beschwerde in öffentlich-rechtlichen Angelegenheiten (Verfahren 2C_79/2016) mit dem Antrag, in Aufhebung des angefochtenen Urteils sei die Verfügung vom 31. März 2014 zu bestätigen mit der Anpassung, dass der Verfügungspassus "und vergleichbare SWE (gemäss Erwägungen 2.7) " gestrichen werde. Eventuell sei das angefochtene Urteil aufzuheben und die Streitsache zu neuer Beurteilung an die Vorinstanz zurückzuweisen.

C.b. Das Eidgenössische Departement für Wirtschaft, Bildung und Forschung (WBF) erhebt ebenfalls mit Eingabe vom 25. Januar 2016 an das Bundesgericht Beschwerde in öffentlich-rechtlichen Angelegenheiten (Verfahren 2C_80/2016) mit dem gleichlautenden Antrag.

C.c. Das Bundesverwaltungsgericht verzichtet auf Vernehmlassung. Die A.________ AG beantragt, die Beschwerden seien abzuweisen. Die SUVA ersucht um Gutheissung (auch) der Beschwerde des WBF, das WBF verzichtet auf Stellungnahme zur Beschwerde der SUVA.

D.

Das Bundesgericht hat die Angelegenheit am 10. April 2017 öffentlich beraten.

Erwägungen:

1.

Die beiden Beschwerden richten sich gegen das nämliche Urteil und betreffen die gleichen Verfahrensbeteiligten. Es rechtfertigt sich, die beiden Verfahren zu vereinigen.

2.

2.1. Die Beschwerden sind zulässig (Art. 82 lit. a, Art. 86 Abs. 1 lit. a und Art. 90 BGG), da keine Ausnahme nach Art. 83 BGG vorliegt.

2.2. Das WBF ist gestützt auf Art. 89 Abs. 2 lit. a zur Beschwerde legitimiert. Auf seine Beschwerde ist einzutreten.

2.3. Die SUVA beruft sich auf keinen besonderen Legitimationsgrund im Sinne von Art. 89 Abs. 2 BGG, sondern auf die allgemeine Legitimationsklausel von Art. 89 Abs. 1 BGG. Sie macht geltend, sie sei als Vollzugsorgan im Sinne von Art. 10 PrSG (in Verbindung mit Art. 20 Abs. 1 der Verordnung vom 19. Mai 2010 über die Produk-tesicherheit [PrSV; SR 930.111]) wie eine Privatperson betroffen; sie habe weiterhin im Rahmen der Marktüberwachung mit der Beschwerdegegnerin zu tun und sollte deshalb berechtigt sein, ihren Rechtsstandpunkt rechtsmittelweise durchzusetzen. Der angefochtene Entscheid habe zudem negative Folgen für die Präventionsbemühungen und es sei zu befürchten, dass sich weitere Unfälle mit SWE ereignen, für welche sie Unfallversicherungsleistungen werde erbringen müssen.

2.3.1. Die Beschwerdelegitimation nach Art. 89 Abs. 1 BGG ist in erster Linie auf Privatpersonen zugeschnitten, doch kann sich auch das Gemeinwesen darauf stützen, falls es durch einen angefochtenen Entscheid gleich oder ähnlich wie ein Privater oder aber in spezifischer, schutzwürdiger Weise in der Wahrnehmung einer hoheitlichen Aufgabe betroffen wird, namentlich wenn einem Entscheid präjudizielle Bedeutung für die öffentliche Aufgabenerfüllung zukommt. Die Beschwerdebefugnis zur Durchsetzung hoheitlicher Anliegen setzt eine erhebliche Betroffenheit in wichtigen öffentlichen Interessen voraus. Das allgemeine Interesse an der richtigen Rechtsanwendung begründet keine Beschwerdebefugnis im Sinne dieser Regelung. Gestützt auf die allgemeine Legitimationsklausel von Art. 89 Abs. 1 BGG sind Gemeinwesen nur restriktiv zur Beschwerdeführung zuzulassen. Insbesondere ist die im Rechtsmittelverfahren unterlegene Vorinstanz nicht berechtigt, gegen den sie desavouierenden Entscheid an das Bundesgericht zu gelangen (BGE 141 II 161 E. 2.1 S. 164). Besondere Zurückhaltung ist geboten, wenn sich Organe desselben Gemeinwesens gegenüberstehen, namentlich die Exekutivbehörden und das Verwaltungsgericht des gleichen Gemeinwesen: Eine Behörde, deren Verfügung von der zuständigen Justizbehörde aufgehoben wurde, ist grundsätzlich nicht befugt, Beschwerde in öffentlich-rechtlichen Angelegenheiten zur Wiederherstellung ihrer Verfügung zu führen (BGE 141 II 161 E. 2.2 S. 164 f.). Das Gleiche gilt auch auf eidgenössischer Ebene; angesichts dieses Umstands hatte der Bundesgesetzgeber in Art. 89 Abs. 2 lit. a BGG ja auch ausdrücklich Beschwerdemöglichkeiten von besonderen Verwaltungsträgern normiert.

2.3.2. Die SUVA ist eine öffentlich-rechtliche Anstalt eidgenössischen Rechts mit eigener Rechtspersönlichkeit (Art. 61 Abs. 1 UVG). Sie betreibt in erster Linie eine Versicherung (Art. 61 Abs. 2 UVG), nämlich die Unfallversicherung im Teilmonopolbereich (Art. 66 UVG) sowie die Militärversicherung (Art. 67 UVG). Daneben ist sie Durchführungsorgan für die Bestimmungen über die Verhütung von Berufsunfällen und Berufskrankheiten (Art. 85 Abs. 1 UVG) sowie für Bereiche der Produktsicherheit (Art. 20 Abs. 1 lit. a PrSV).

2.3.3. Die SUVA ist entgegen ihrer Auffassung in der vorliegenden Streitsache (anders als etwa in ihrer Eigenschaft als Eigentümerin von Anlagevermögen [vgl. Urteil 2C_230/2012 vom 24. September 2012 E. 1], als Beteiligte in einem Staatshaftungsverfahren [Urteil 2A.726/2006 vom 8. November 2007 E. 1.2] oder als Steuerpflichtige [BGE 121 II 138; Urteil 2A.197/2005 vom 28. Dezember 2005]) nicht gleich oder ähnlich wie eine Privatperson betroffen, sondern in ihrer Eigenschaft als Vollzugsorgan mit hoheitlichen Aufgaben. Sie ist damit verfügende Vorinstanz des Bundesverwaltungsgerichts und nach den dargelegten Grundsätzen (oben E. 2.3.1) nicht zur Beschwerde gegen den ihre Verfügung aufhebenden Rechtsmittelentscheid legitimiert. Daran ändert nichts, dass nach Auffassung der SUVA die Wahrnehmung ihrer Aufgabe durch die Rechtsauffassung der Vorinstanz erschwert wird; mit dieser Argumentation wäre jede Verwaltungsstelle legitimiert zur Beschwerde gegen Rechtsmittelentscheide, die ihre Verfügungen aufheben, was klarerweise nicht der gesetzlichen Ordnung entspricht. Legitimiert ist die SUVA in ihrer Eigenschaft als Sozialversicherungsträgerin, doch kann die Befürchtung, unter diesem Titel in Zukunft höhere Leistungen erbringen zu müssen, nicht die Legitimation im vorliegenden Verfahren begründen (vgl. für eine analoge Situation BGE 133 II 400 E. 2.4.2 S. 407).

2.3.4. Auf die Beschwerde der SUVA kann somit nicht eingetreten werden.

3.

In der Verfügung vom 31. März 2014 hatte die SUVA das Inverkehrbringen von SWE xx "und vergleichbare[n] SWE (gemäss Erwägung 2.7) " verboten. In Erwägung 2.7 wurde ausgeführt, im Produktsortiment der (damaligen) Beschwerdeführerin befänden sich nebst dem Produkt xx weitere SWE, welche über die erwähnten Mängel verfügen könnten; es liege in der Verantwortung der Inverkehrbringerin zu beurteilen, welche Typen den Mangel aufwiesen. Das Bundesverwaltungsgericht erwog, dieses Vorgehen sei unzulässig; es sei Sache der SUVA, die Prüfung für jedes einzelne Produkt vorzunehmen; die in der Verfügung enthaltene Beschreibung genüge dem Gebot der zweifelsfreien Identifikation des betroffenen Produkts nicht, weshalb der Verfügungspassus "und vergleichbare SWE (gemäss Erwägungen 2.7) " zu streichen sei. In diesem Punkt wird das Urteil vom Beschwerdeführer ausdrücklich anerkannt. Streitig ist somit nur noch das Verbot des Inverkehrbringens der SWE vom Typ xx.

4.

4.1. Das Bundesgericht prüft frei und von Amtes wegen die richtige Anwendung von Bundesrecht (Art. 95 lit. a und Art. 106 Abs. 1 BGG). Es legt seinem Urteil den Sachverhalt zugrunde, den die Vorinstanz festgestellt hat (Art. 105 Abs. 1 BGG). Es kann die Sachverhaltsfeststellung der Vorinstanz von Amtes wegen oder auf Rüge hin berichtigen oder ergänzen, wenn sie offensichtlich unrichtig ist oder auf einer Rechtsverletzung im Sinne von Artikel 95 beruht und wenn die Behebung des Mangels für den Ausgang des Verfahrens entscheidend sein kann (Art. 97 Abs. 1, Art. 105 Abs. 2 BGG). Eine entsprechende Rüge unterliegt den Anforderungen von Art. 106 Abs. 2 BGG.

4.2. Das WBF reicht zur Illustration des technischen Sachverhalts vor Bundesgericht ein Video ein, da seines Erachtens die Vorinstanz den technischen Sachverhalt zu wenig gewürdigt habe.

4.3. Neue Tatsachen und Beweismittel dürfen nur so weit vorgebracht werden, als erst der Entscheid der Vorinstanz dazu Anlass gibt (Art. 99 Abs. 1 BGG). Neue Begehren sind unzulässig (Art. 99 Abs. 2 BGG). Das Verbot neuer Begehren gilt allerdings dort nicht, wo eine Partei zulässigerweise überhaupt erst vor Bundesgericht zum ersten Mal auftritt, wie das für eine nach Art. 89 Abs. 2 lit. a BGG beschwerdelegitimierte Bundesbehörde der Fall sein kann (BGE 136 II 359 E. 1.2 S. 362 ff.). In diesem Rahmen können solche Behörden auch (neues) allgemeines Fachwissen in das Verfahren einbringen (Urteil 1C_589/2014 vom 3. Februar 2016 E. 4.2). Ob auch fallbezogene neue Tatsachen oder Beweismittel zulässig sind, ist (ausserhalb des Bereichs der Doppelbesteuerung [vgl. BGE 139 II 373 E. 1.7 S. 378 f.]) fraglich, kann aber offen bleiben: Denn das technische Funktionieren der Produkte ist, soweit überhaupt umstritten, gar nicht rechtserheblich (hinten E. 8.2), so dass das Video ohnehin keine Rolle spielt. Abgesehen davon handelt es sich zudem nicht im eigentlichen Sinn um neue Tatsachen, visualisiert das Video doch nur die in den Akten befindlichen Gebrauchsanweisungen.

5.

5.1. Mit dem PrSG sollen die Sicherheit von Produkten gewährleistet und der grenzüberschreitende freie Warenverkehr erleichtert werden (Art. 1 Abs. 1 PrSG). Produkte dürfen in Verkehr gebracht werden, wenn sie bei normaler oder bei vernünftigerweise vorhersehbarer Verwendung die Sicherheit und die Gesundheit der Verwenderinnen und Verwender und Dritter nicht oder nur geringfügig gefährden (Art. 3 Abs. 1 PrSG). Sie müssen den grundlegenden Sicherheits- und Gesundheitsanforderungen nach Artikel 4 oder, wenn keine solchen Anforderungen festgelegt worden sind, dem Stand des Wissens und der Technik entsprechen (Art. 3 Abs. 2 PrSG). Der Bundesrat legt die grundlegenden Sicherheits- und Gesundheitsanforderungen fest (Art. 4 Abs. 1 PrSG). Er berücksichtigt dabei das entsprechende internationale Recht (Art. 4 Abs. 2 PrSG). Das zuständige Bundesamt bezeichnet im Einvernehmen mit dem Staatssekretariat für Wirtschaft (seco) die technischen Normen, die geeignet sind, die grundlegenden Sicherheits- und Gesundheitsanforderungen nach Artikel 4 zu konkretisieren (Art. 6 Abs. 1 PrSG). Soweit möglich bezeichnet es international harmonisierte Normen (Art. 6 Abs. 2 PrSG). Es veröffentlicht die technischen Normen mit Titel sowie Fundstelle oder Bezugsquelle im Bundesblatt (Art. 6 Abs. 3 PrSG). Wer ein Produkt in Verkehr bringt, muss nachweisen können, dass es die grundlegenden Sicherheits- und Gesundheitsanforderungen erfüllt. Der Nachweis der Konformität richtet sich nach den Artikeln 17 und 18 des Bundesgesetzes vom 6. Oktober 1995 über die technischen Handelshemmnisse (THG [SR 946.51]; Art. 5 Abs. 1 PrSG). Wird ein Produkt nach den technischen Normen gemäss Artikel 6 hergestellt, so wird vermutet, dass es die grundlegenden Sicherheits- und Gesundheitsanforderungen erfüllt (Art. 5 Abs. 2 PrSG). Die Vollzugsorgane können Produkte, die in Verkehr gebracht werden, kontrollieren und nötigenfalls Muster erheben (Art. 10 Abs. 1 PrSG). Ergibt die Kontrolle, dass ein Produkt den grundlegenden Sicherheits- und Gesundheitsanforderungen oder dem Stand des Wissens und der Technik nicht entspricht, so verfügt das Vollzugsorgan die geeigneten Massnahmen (Art. 10 Abs. 2 PrSG). Ist es zum Schutz der Sicherheit oder Gesundheit der Verwenderinnen und Verwender oder Dritter erforderlich, so kann das Vollzugsorgan insbesondere das weitere Inverkehrbringen eines Produkts verbieten (Art. 10 Abs. 3 lit. a PrSG).

5.2. Gleichzeitig mit dem Erlass des PrSG und in Koordination damit wurde das THG revidiert (Änderung vom 12. Juni 2009, in Kraft seit 1. Juli 2010 [AS 2010 2617]). Dieses schafft gemäss seinem Art. 1 Abs. 1 einheitliche Grundlagen, damit im Regelungsbereich des Bundes technische Handelshemmnisse vermieden, beseitigt oder abgebaut werden. Es enthält insbesondere Vorschriften für das Inverkehrbringen von Produkten, die nach ausländischen technischen Vorschriften hergestellt worden sind (Art. 1 Abs. 2 lit. b bis THG). Das THG ist anwendbar, soweit nicht andere Bundesgesetze oder internationale Abkommen abweichende oder weitergehende Bestimmungen enthalten. Das Inverkehrbringen von Produkten, die nach ausländischen technischen Vorschriften hergestellt worden sind, richtet sich nach diesem Gesetz (Art. 2 Abs. 2 THG). Technische Vorschriften werden so ausgestaltet, dass sie sich nicht als technische Handelshemmnisse auswirken (Art. 4 Abs. 1 THG). Sie werden zu diesem Zweck auf die technischen Vorschriften der wichtigsten Handelspartner der Schweiz abgestimmt (Art. 4 Abs. 2 Satz 1 THG). Gemäss Art. 4 Abs. 5 THG sind technische Vorschriften über Produkteanforderungen - inhaltlich übereinstimmend mit Art. 4-6 PrSG - nach folgenden Grundsätzen auszugestalten: Sie legen nur die grundlegenden Anforderungen fest; sie bestimmen insbesondere die zu erreichenden Ziele (lit. a); das zuständige Bundesamt bezeichnet im Einvernehmen mit dem Staatssekretariat für Wirtschaft (seco) die technischen Normen, die geeignet sind, die grundlegenden Anforderungen zu konkretisieren; soweit möglich bezeichnet es international harmonisierte Normen; es veröffentlicht die bezeichneten technischen Normen mit Titel sowie Fundstelle oder Bezugsquelle im Bundesblatt (lit. b); wird das Produkt nach bezeichneten Normen hergestellt, so wird vermutet, dass es den grundlegenden Anforderungen entspricht (lit. c).
Die für die Marktüberwachung zuständigen Vollzugsorgane können die erforderlichen Nachweise und Informationen verlangen, Muster erheben oder anfordern, Prüfungen veranlassen und während der üblichen Arbeitszeit die Betriebs- und Geschäftsräume auskunftspflichtiger Personen betreten und besichtigen sowie die einschlägigen Unterlagen einsehen (Art. 19 Abs. 1 THG). Ist es zum Schutz überwiegender öffentlicher Interessen nach Artikel 4 Absatz 4 Buchstaben a-e erforderlich, so können sie die geeigneten Massnahmen treffen, wenn die verlangten Nachweise, Informationen oder Muster nicht innert angemessener Frist zur Verfügung gestellt werden oder ein Produkt den technischen Vorschriften nicht entspricht (Art. 19 Abs. 3 THG). Sie können insbesondere das weitere Inverkehrbringen eines Produkts verbieten, die Warnung vor den Gefahren eines Produkts, seine Rücknahme oder seinen Rückruf anordnen und nötigenfalls selbst vollziehen, die Ausfuhr eines Produkts, dessen weiteres Inverkehrbringen nach Buchstabe a verboten worden ist, verbieten oder ein Produkt, von dem eine unmittelbare und ernste Gefahr ausgeht, einziehen und vernichten oder unbrauchbar machen (Art. 19 Abs. 4 THG). Sie dürfen keine Massnahmen anordnen, die eine nachträgliche bauliche Änderung rechtmässig in Verkehr gebrachter Produkte erfordern würden (Art. 19 Abs. 5 THG).

5.3. PrSG und THG sind eng aufeinander abgestimmt: In der Botschaft vom 25. Juni 2008 zur Teilrevision des Bundesgesetzes über die technischen Handelshemmnisse (Botschaft Rev. THG, BBl 2008 7275, 7335) wird dazu ausgeführt (und mit geringen redaktionellen Abweichungen gleich in der Botschaft vom 25. Juni 2008 zum Produktesicherheitsgesetz [Totalrevision des Bundesgesetzes über die Sicherheit von technischen Einrichtungen und Geräten] [Botschaft PrSG], BBl 2008 7407, 7426) :

"Beide regeln die Voraussetzungen für das Inverkehrbringen von Produkten, beide enthalten eine identische Umschreibung des Begriffs des Inverkehrbringens und die Geltungsbereiche beider Gesetze sind insoweit aufeinander abgestimmt. Hingegen grenzen sich die beiden Gesetze durch einen unterschiedlichen Regelungszweck voneinander ab. So bezweckt das THG durch die Schaffung einheitlicher Grundlagen, dass unnötige technische Handelshemmnisse in allen Phasen und auf allen Stufen der Vorbereitung, des Erlasses und der Anwendung von Produktevorschriften vermieden werden. Das PrSG hingegen bezweckt, die Sicherheit von Produkten zu gewährleisten. Die beiden Gesetze stellen in diesem Sinn zwei komplementäre Rahmenerlasse dar; diese Komplementarität gilt auch für die beiden Revisionsvorlagen. Während im Rahmen der THG-Revision mit der Verankerung des «Cassis-de-Dijon-Prinzips» der schweizerische Markt - unter gewissen Voraussetzungen - auch für Produkte geöffnet wird, die den schweizerischen technischen Vorschriften nicht vollumfänglich entsprechen, werden mit dem Ausbau des STEG zu einem umfassenden Produktesicherheitsgesetz das Schutzniveau angehoben und die Befugnisse der Behörden zum Ergreifen von Massnahmen erweitert."

Die beiden Gesetze können daher nicht unabhängig voneinander angewendet werden (THEODOR BÜHLER, Die Produktsicherheit als Bestandteil der schweizerischen Rechtsordnung, 2012, S. 14).

5.4.

5.4.1. Mit der Totalrevision des PrSG wurde zugleich das Kapitel "Inverkehrbringen von nach ausländischen technischen Vorschriften hergestellten Produkten" (Art. 16a ff.) in das THG aufgenommen. Es stellt sich deshalb die Frage, ob Art. 16a THG neben dem Produktesicherheitsrecht überhaupt anwendbar ist. Gemäss Art. 16a Abs. 1 THG dürfen Produkte in Verkehr gebracht werden, wenn sie den technischen Vorschriften der Europäischen Gemeinschaft (EG) und, bei unvollständiger oder fehlender Harmonisierung in der EG, den technischen Vorschriften eines Mitgliedstaats der EG oder des Europäischen Wirtschaftsraums (EWR) entsprechen (lit. a) und im EG- oder EWR-Mitgliedstaat nach Buchstabe a rechtmässig in Verkehr sind (lit. b). Für die Marktüberwachung eines Produkts, das nach Artikel 16a Absatz 1 in Verkehr gebracht wurde, ist nachzuweisen, dass es den technischen Vorschriften nach Artikel 16a Absatz 1 Buchstabe a entspricht, und glaubhaft zu machen, dass es im betreffenden EG- oder EWR-Mitgliedstaat rechtmässig in Verkehr ist (Art. 20 Abs. 1 THG). Ergibt die Kontrolle, dass die Nachweispflichten nach Absatz 1 oder 2 nicht erfüllt sind oder das Produkt ein Risiko für überwiegende öffentliche Interessen im Sinne von Artikel 4 Absatz 4 Buchstaben a-e darstellt, so trifft das Vollzugsorgan die geeigneten Massnahmen nach Artikel 19 (Art. 20 Abs. 4 THG).

5.4.2. Den Abbau von technischen Handelshemmnissen hat der Bundesrat bis vor der Änderung des THG im Jahre 2010 auf zwei Wegen verfolgt: Einerseits mittels einer autonomen Harmonisierung, wonach der schweizerische Gesetzgeber seine Produktegesetzgebung an die in der EG bzw. heute EU geltende anpasst und dadurch Imkompatibilitäten vermeidet, andererseits durch Abkommen mit der Europäischen Union wie u.a. das Abkommen vom 21. Juni 1999 zwischen der Schweizerischen Eidgenossenschaft und der Europäischen Gemeinschaft über die gegenseitige Anerkennung von Konformitätsbewertungen (Mutual Recognition Agreement [MRA; SR 0.946.526.81]; vgl. Botschaft Rev. THG, BBl 2008 7275, 7284 bzw. 7285; zum Ganzen auch THOMAS COTTIER/DAVID HERREN, Das Äquivalenzprinzip im schweizerischen Aussenwirtschaftsrecht: von Cassis de Dijon zu Cassis de Berne, in: Astrid Epiney/Nina Gammenthaler [Hrsg.], Schweizerisches Jahrbuch für Europarecht 2009/2010, 2010, S. 249 ff., 260 f.). Mit Art. 16a THG wurde ein zusätzliches Instrument zur Beseitigung technischer Handelshemmnisse geschaffen (vgl. Botschaft Rev. THG, BBl 2008 7275, 7289). Dieses soll indes keinen Ersatz für die bestehenden Regelungen, sondern lediglich eine Ergänzung darstellen (vgl. Botschaft Rev. THG, BBl 2008 7275, 7290 und 7291). Das Inverkehrbringen von Produkten erfolgt auch nach der Teilrevision des THG nämlich in erster Linie nach den schweizerischen Produktevorschriften, welche in den produktsektorspezifischen Bundesgesetzen enthalten sind, und in zweiter Linie durch staatsvertragliche Regelungen (vgl. Botschaft Rev. THG, BBl 2008 7275, 7317). Die Ergänzung zu diesen beiden traditionellen Marktzugangskanälen durch Art. 16a THG soll daher "für Produkte, für welche die schweizerischen technischen Vorschriften mit denjenigen der EG [bzw. heute EU] harmonisiert sind, keine Anwendung finden" (Botschaft Rev. THG, BBl 2008 7275, 7317). Der Bundesrat hat diesbezüglich keine ausdrückliche Vorrangvorschrift vorgeschlagen, was er allerdings aufgrund des Systems des bereits oben dargestellten Zusammenspiels zwischen THG und den harmonisierten Produktesicherheitsvorschriften und dem Zweck der genannten Vorschriften zu Recht auch nicht musste: Nach Art. 4 Abs. 1 und 2 THG sind technische Vorschriften so auszugestalten, dass sie sich nicht als technische Handelshemmnisse auswirken. Im Sinne dieses Artikels hat der Gesetzgeber unzählige schweizerische Vorschriften, wie im vorliegenden Fall in Bezug auf Maschinen, mit den Vorschriften der EU harmonisiert. Art. 16a Abs. 1 THG ist deshalb für diesen Bereich gar nicht notwendig (so auch COTTIER/HERREN, Äquivalenzprinzip, a.a.O., S. 269 mit Fn. 94). Es kann nämlich davon ausgegangen werden, dass ein aufmerksamer Rechtssetzer für die Verwirklichung seines Ziels nicht doppelte Normen erlässt, welche zudem zu einer klassischen Normkollision (BGE 141 II 66 E. 2.4.1 S. 73 f. [Normen regeln für denselben Sachverhalt sich ausschliessende Rechtsfolgen]) führen kann. Würde sodann Art. 16a Abs. 1 THG immer zur Anwendung kommen, würde das MRA aus Sicht der Schweiz praktisch unterlaufen (siehe dazu auch COTTIER/HERREN, Äquivalenzprinzip, a.a.O., S. 263). Auch Regelungen über die Produktesicherheit nur inländischer Produkte gestützt auf das PrSG wären wegen den Massnahmen zur Verhinderung einer Diskriminierung inländischer Hersteller (Art. 16b THG) vielfach obsolet.

5.4.3. Zusammenfassend lässt sich demgemäss festhalten, dass Art. 16a Abs. 1 THG nur dann zur Anwendung kommt, wenn die Schweiz die Produktestandards der EU nicht übernommen hat und keine Ausnahmen i.S. von Art. 16a Abs. 2 THG vorliegen. Der Anwendungsbereich von Art. 16a Abs. 1 THG beschränkt sich somit auf die zwischen der Schweiz und dem EU/EWR-Binnenmarkt nicht-harmonisierten Bereiche (vgl. DAVID HERREN, Das Cassis de Dijon-Prinzip. Eine rechtsvergleichende Studie zur Äquivalenz von Rechtsnormen im WTO-Recht, im EU-Recht und im schweizerischen Recht, 2014, S. 254 und Fn. 1261; siehe auch COTTIER/HERREN, Äquivalenzprinzip, a.a.O., S. 269). Im vorliegenden Fall sind die Normen zwischen der Schweiz und der EU harmonisiert (siehe unten E. 5.6 und 5.8). Art. 16a THG findet deshalb keine Anwendung.

5.5. Für Maschinen im Sinne der EU-Maschinenrichtlinie (MRL; Richtlinie 2006/42/EG des Europäischen Parlaments und des Rates vom 17. Mai 2006 über Maschinen und zur Änderung der Richtlinie 95/16/EG [Neufassung], ABl. L 157 vom 9.6.2006, S. 24; zuletzt geändert durch Richtlinie 2014/33/EU, ABl. L 96 vom 29.3.2014, S. 251) hat der Bundesrat gestützt u.a. auf Art. 4 PrSG und in Ausführung des THG die Verordnung vom 2. April 2008 über die Sicherheit von Maschinen (Maschinenverordnung; MaschV [SR 819.14]) erlassen. Gemäss Art. 2 Abs. 1 MaschV dürfen Maschinen nur in Verkehr gebracht werden, wenn sie bei ordnungsgemässer Installation und Wartung und bei bestimmungsgemässer oder vernünftigerweise vorhersehbarer Verwendung die Sicherheit und die Gesundheit von Personen und gegebenenfalls von Haustieren und Sachen sowie, sofern für diese Maschinen in der EU-Maschinenrichtlinie spezifische Umweltvorschriften bestehen, die Umwelt nicht gefährden (lit. a) und die Anforderungen nach den folgenden Bestimmungen der EU-Maschinenrichtlinie erfüllt sind: Artikel 5 Absatz 1 Buchstaben a-e sowie Absätze 2 und 3 und Artikel 12 und 13 (lit. b). Das Staatssekretariat für Wirtschaft (seco) bezeichnet die technischen Normen, die geeignet sind, die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen nach Anhang I MRL zu konkretisieren (Art. 3 MaschV).

5.6.

5.6.1. Sowohl das PrSG als auch das THG, insbesondere in seiner revidierten Form, bezwecken eine Harmonisierung der schweizerischen Produktevorschriften mit denjenigen der EU. Dabei hat das THG vor allem die Beseitigung von Handelshemmnissen, das PrSG dagegen vor allem die Sicherheit von Produkten im Blick (Botschaft Rev. THG, BBl 2008 7275, 7289 ff., 7329 f.; Botschaft PrSG, BBl 2008 7407, 7408, 7420 ff., 7427 ff.; BARBARA KLETT/YVES BIELMANN, Produktesicherheit und Warenverkehr - aktuelle Entwicklungen, Sicherheit und Recht 2014, S. 79 ff., 79). Damit soll insbesondere - wie bereits im früheren STEG - der sog. New Approach der EU übernommen werden (Botschaft Rev. THG, BBl 2008 7275, 7286 f., 7310; Botschaft PrSG, BBl 2008 7407, 7413 f., 7421, 7432, 7439; zum New Approach vgl. Europäische Kommission, Leitfaden für die Umsetzung der Produktvorschriften der EU 2016 ["Blue Guide"], ABl. C 272 vom 26.7.2016, S. 1 ff; THEODOR BÜHLER/CHRISTA TOBLER, Produktsicherheit in der EU und in der Schweiz, 2011, S. 45 ff.; HANS-JOACHIM HESS, Handkommentar Produktesicherheitsgesetz, 2010, Art. 4 Rz. 15 ff.; HANS-JOACHIM HESS, Prinzipien und Rechtswirkungen der technischen Normung, in: Fellmann/Furrer [Hrsg.], Produktsicherheit und Produkthaftung - Die Schonzeit für Hersteller, Importeur und Händler ist vorbei! [nachfolgend: Prinzipien], 2012, S. 1 ff., 5 ff.; PETER HETTICH, Kooperative Risikovorsorge, 2014, S. 277 ff.; HANSPETER PFENNINGER, Das neue Bundesgesetz über die Produktesicherheit - Geltungsbereich und EU-Kompatibilität als Herausforderung, in: Peters Dreiblatt: Föderalismus, Grundrechte, Verwaltung. Festschrift für Peter Hänni zum 60. Geburtstag [FS Hänni], 2010, S. 415 ff., 417 ff.; HANSJÖRG SEILER, Recht und technische Risiken, 1997, S. 64 ff., 189 f.; THOMAS WILRICH, Das neue Produktsicherheitsgesetz [ProdSG], 2012, S. 7 ff.). Nach diesem Ansatz enthalten die gemeinschaftsrechtlichen Vorschriften nur die grundlegenden Anforderungen; deren Einhaltung liegt grundsätzlich in der Eigenverantwortung des Herstellers oder Importeurs, was mit verschiedenen Konformitätsbewertungsverfahren sicherzustellen ist (BÜHLER/TOBLER, a.a.O., S. 95 ff.; HESS, Prinzipien, a.a.O., S. 9 ff.; WILRICH, a.a.O., S. 102 f.). Für die Konkretisierung der materiellen Anforderungen können technische Normen herangezogen werden, welche unter bestimmten Voraussetzungen vermutungsweise den anzuwendenden Sicherheitsmassstab festlegen, namentlich die durch die europäischen Normenorganisationen erlassenen und harmonisierten Normen (WILRICH, a.a.O., S. 97 f., 142, 144 f.).

5.6.2. Für Maschinen ist dieser Ansatz in der MRL festgelegt: Nach Art. 5 Abs. 1 MRL muss der Hersteller oder sein Bevollmächtigter u.a. sicherstellen, dass die Maschine die in Anhang I aufgeführten, für sie geltenden grundlegenden Sicherheits- und Gesundheitsanforderungen erfüllt (lit. a), und die zutreffenden Konformitätsbewertungsverfahren gemäss Art. 12 durchführen (lit. d). Zu den in Anhang I aufgeführten Anforderungen gehört auch die Pflicht, eine Risikobeurteilung vorzunehmen und die Maschine dann unter Berücksichtigung der Ergebnisse der Risikobeurteilung zu konstruieren und zu bauen (Allgemeine Grundsätze Ziff. 1 Anhang I MRL). Ziff. 1.1.2 Anhang I MRL enthält Grundsätze für die Integration der Sicherheit. Gemäss lit. b muss der Hersteller oder sein Bevollmächtigter bei der Wahl der angemessenen Lösung folgende Grundsätze anwenden, und zwar in der angegebenen Reihenfolge: Beseitigung oder Minimierung der Risiken so weit wie möglich (Integration der Sicherheit in Konstruktion und Bau der Maschine [erstes Lemma]); Ergreifen der notwendigen Schutzmassnahmen gegen Risiken, die sich nicht beseitigen lassen (zweites Lemma); Unterrichtung der Benutzer über die Restrisiken aufgrund der nicht vollständigen Wirksamkeit der getroffenen Schutzmassnahmen; Hinweis auf eine eventuell erforderliche spezielle Ausbildung oder Einarbeitung und persönliche Schutzausrüstung (drittes Lemma).

5.6.3. Diese Grundsätze legen allerdings nicht fest, wie hoch das erforderliche Sicherheitsniveau ist, woraus eine gewisse Rechtsunsicherheit entsteht. Ist jedoch eine Maschine nach einer harmonisierten Norm hergestellt worden, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht worden sind, so wird davon ausgegangen, dass sie den von dieser harmonisierten Norm erfassten grundlegenden Sicherheits- und Gesundheitsanforderungen entspricht (Art. 7 Abs. 2 MRL). Diese Konformitätsvermutung gibt dem Hersteller eine gewisse Rechtssicherheit, da er keinen weiteren Nachweis der Konformität mit den grundlegenden Sicherheits- und Gesundheitsanforderungen erbringen muss, die durch diese Norm abgedeckt werden (vgl. § 110 Abs. 8 des Leitfadens für die Anwendung der Maschinenrichtlinie 2006/42/EG, 2. A. 2010 [Leitfaden MRL]; WILRICH, a.a.O., S. 145 ff.); allerdings entbinden die harmonisierten Normen den Maschinenhersteller nicht gänzlich davon, eine Risikobeurteilung durchzuführen (Leitfaden MRL, a.a.O., § 110 Abs. 10, § 159 Abs. 2; WILRICH, a.a.O., Rz. 371; hinten E. 5.6.5). Sodann sind auch die Verwaltungen verpflichtet, bei den nach harmonisierten bezeichneten Normen hergestellten Produkten die Übereinstimmung mit den grundlegenden Anforderungen anzunehmen (WILRICH, a.a.O., S. 9, 147 f.). Dies gilt für alle EU-Mitgliedstaaten (Art. 7 Abs. 1 MRL). Ist ein Mitgliedstaat der Meinung, dass eine harmonisierte Norm die grundlegenden Anforderungen nicht oder nicht vollständig erfüllt, so kann er die Norm nach Art. 10 MRL bei der Kommission anfechten; nach Prüfung entscheidet die Kommission, die Fundstelle zu veröffentlichen, nicht zu veröffentlichen, mit Einschränkungen zu veröffentlichen, zu belassen, mit Einschränkungen zu belassen oder zu streichen. Im Umfang der Streichung oder Einschränkung entfällt die Konformitätsvermutung. Der Mitgliedstaat kann auch das Schutzklauselverfahren nach Art. 11 MRL einleiten, wobei er die Kommission und die übrigen Mitgliedstaaten über eine solche Massnahme unterrichten muss; die Kommission prüft, ob die Massnahme aufgrund der tatsächlichen Risiken gerechtfertigt ist; wenn nicht, muss der Mitgliedstaat die Massnahme beenden (vgl. Urteil des EuG vom 15. Juli 2015 T-337/13 CSF Srl, Rnr. 46, 55 ff.).

5.6.4. Aus den dargelegten Grundlagen ergibt sich, dass der Inverkehrbringer, der die bezeichneten Normen einhält, davon ausgehen kann, dass die Anforderungen von Anhang I MRL grundsätzlich eingehalten sind mit Einschluss der in diesem Anhang enthaltenen Pflicht, eine Risikobeurteilung vorzunehmen. Mit der harmonisierten und bezeichneten Norm wird festgelegt, wie hoch das akzeptable Risiko ist. Müsste jeder einzelne Hersteller selber mit einer Risikobeurteilung nachweisen, dass bei Einhaltung der Norm die grundlegenden Anforderungen erfüllt sind, wäre das ganze System der harmonisierten und bezeichneten Normen ihres Sinns und Zwecks beraubt.

5.6.5. Die Konformitätsvermutung erstreckt sich jedoch nur auf diejenigen Anforderungen, welche von den jeweiligen Normen erfasst werden (Art. 7 Abs. 2 MRL; WILRICH, a.a.O., S. 144 f.). Insbesondere bei älteren Normen kann es vorkommen, dass sie nicht alle sicherheitsrelevanten Aspekte umfassen (HESS, Handkommentar PrSG, a.a.O., Art. 5 Rz. 18). Die Anwendung harmonisierter Normen entbindet den Hersteller somit nicht völlig von der Pflicht, eine Risikobeurteilung durchzuführen (Leitfaden MRL, a.a.O., § 110 Abs. 10 und § 159 Abs. 2). Wenn von der betreffenden Maschine Gefährdungen ausgehen, die nicht durch die harmonisierte Norm abgedeckt werden, ist eine umfassende Risikobeurteilung für diese Gefährdungen notwendig, und es müssen geeignete Schutzmassnahmen ergriffen werden (Leitfaden MRL, a.a.O., § 159).

5.7. Dieser innerhalb der EU geltenden Konformitätsvermutung entspricht auch die Regelung von Art. 5 Abs. 2 PrSG bzw. Art. 4 Abs. 5 lit. c THG (ANDREAS FURRER, Produktsicherheit, Produkthaftung und technische Normung in der Schweiz, in: Fellmann/Furrer [Hrsg.], Produktsicherheit und Produkthaftung - Neue Herausforderungen für schweizerische Unternehmen, 2011, S. 1 ff., 13 f.; PFENNINGER, FS Hänni, a.a.O., S. 416 f.) : Nach Art. 3 Abs. 1 PrSG dürfen Produkte "nicht oder nur geringfügig gefährden". Ein Nullrisiko ist bei Produkten wie in anderen Bereichen nicht verlangt (WILRICH, a.a.O., S. 133 ff.; vgl. BGE 139 II 185 E. 11.3-11.5 S. 209 f., 212 bzgl. Kernkraftwerke; Urteil 2C_905/2010 vom 22. März 2011 E. 3.2.1 bzgl. Seilbahnen); vielmehr geht es darum, die akzeptablen Risiken bzw. das erforderliche Sicherheitsniveau festzulegen (Botschaft PrSG, BBl 2008 7407, 7436; ERDEM BÜYÜKSAGIS, La relativité de la sécurité du produit: différentes circonstances, différents défauts, différents régimes de responsabilité, ZSR 2010 I S. 29 ff., 34; HESS, Handkommentar, a.a.O., Art. 3 Rz. 7-9; HANS-JOACHIM HESS, Sicherheit beim Inverkehrbringen nach Art. 3 ff. PrSG: Pflichten des Herstellers, in: Fellmann/Furrer [Hrsg.], Produktsicherheit und Produkthaftung - Neue Herausforderungen für schweizerische Unternehmen, 2011 [nachfolgend: Sicherheit], S. 33 ff., 36 f.; THEODOR BÜHLER, Sicherheit von Non-Food-Produkten in der neuesten schweizerischen Gesetzgebung, 2015, S. 49; BÜHLER/TOBLER, a.a.O., S. 130 f., 385 f.). Das gilt auch für Maschinen: Auch hier sind Beseitigung oder Minimierung der Risiken nur "so weit wie möglich" und Schutzmassnahmen nur soweit "notwendig" erforderlich, womit ein gewisses Restrisiko verbleibt (Art. 2 Abs. 1 lit. b MaschV i.V.m. Art. 5 Abs. 1 lit. a und Anhang I Ziff. 1.1.2 lit. b MRL). Solange aber in keiner Rechtsnorm festgelegt ist, wie hoch das akzeptable Risiko bzw. das erforderliche Sicherheitsniveau ist, steht damit nicht fest, wo die Grenze zwischen zulässigen und unzulässigen Risiken liegt (vgl. Urteil 2C_905/2010 vom 22. März 2011 E. 3.2.1; BÜYÜKSAGIS, a.a.O., S. 34). Diese Unsicherheit wird wesentlich reduziert durch die bezeichneten technischen Normen; diese sind in Bezug auf Maschinen geeignet, die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen nach Anhang I MRL zu konkretisieren (Art. 3 MaschV, entsprechend Art. 7 Abs. 2 MRL). Nach dem gesetzlichen Konzept (Art. 5 Abs. 2 i.V.m. Art. 6 Abs. 1 PrSG) legen die technischen Normen (implizit) fest, welche Sicherheit vermutungsweise als "ausreichend" zu qualifizieren ist (vgl. zum Seilbahnrecht Urteil 2C_905/2010 vom 22. März 2011 E. 3.2.1). Dank dieser Konformitätsvermutung kann der Inverkehrbringer davon ausgehen, dass seine Produkte den Anforderungen genügen, wenn sie den bezeichneten Normen entsprechen (BÜYÜKSAGIS, a.a.O., S. 30 f.; HESS, Handkommentar, a.a.O., Art. 5 Rz. 16; vgl. auch für das Haftpflichtrecht BGE 133 III 81 E. 3.1 in fine S. 85); es erfolgt damit eine Umkehr der Beweislast: Die intervenierende Marktaufsichtsbehörde trägt die Beweislast dafür, dass das Produkt nicht den Anforderungen entspricht (HESS, Handkommentar PrSG, a.a.O., Art. 5 Rz. 16 f.; HESS, Sicherheit, a.a.O., S. 34 ff., 64 f.). Die Normen sind allerdings nicht rechtsverbindlich; der Inverkehrbringer kann die Produkte anders herstellen; er muss dann aber selber nachweisen, dass das Produkt den Anforderungen entspricht (Art. 5 Abs. 3 PrSG; FURRER, a.a.O., S. 15; HESS, Handkommentar, a.a.O., Art. 4 Rz. 47, Art. 5 Rz. 20 f.).

5.8. Aus dieser Regelung ergibt sich folgendes Prüfprogramm : In einem ersten Schritt ist zu prüfen, ob das streitbetroffene Produkt die in einer bezeichneten Norm enthaltenen Anforderungen einhält (unten E. 6). In einem zweiten Schritt ist zu prüfen, ob die Risiken, welche die SUVA mit ihrer Verfügung avisiert, von der Norm erfasst sind (unten E. 7); ist dies zu verneinen, muss die Beschwerdegegnerin die Einhaltung der Sicherheitsanforderungen nachweisen; ist es zu bejahen, greift die Konformitätsvermutung gemäss Art. 5 Abs. 2 PrSG. In diesem Fall ist in einem dritten Schritt zu prüfen, ob diese Vermutung widerlegt ist (unten E. 8). Da das streitbetroffene Produkt in der EU nach EU-Vorschriften hergestellt worden ist, ist in einem vierten Schritt zu fragen, welchen Einfluss das MRA auf den nationalen Entscheid hat, wenn die Vermutung widerlegt ist (unten E. 9). Schliesslich ist in einem fünften Schritt zu entscheiden, welcher Grad von Konkretheit positiver behördlicher Anordnungen zulässig ist (unten E. 10).

6.

6.1.

6.1.1. Vorinstanz und Beschwerdeführer gehen davon aus, dass es sich beim streitbetroffenen Produkt um eine Maschine im Sinne der MRL i.V.m der MaschV handelt, und zwar um eine Erdbaumaschine. Für Erdbaumaschinen hat das seco die europäisch harmonisierte Norm EN 474-1 als technische Norm bezeichnet, die geeignet ist, die grundlegenden Sicherheits- und Gesundheitsanforderungen für Maschinen im Sinne von Art. 3 MaschV zu konkretisieren. Es gibt von dieser Norm verschiedene Fassungen: Gemäss BBl 2009 6559 ist die Norm EN 474-1+A1 als europäisch harmonisierte Norm bezeichnet, wobei auf die Fundstelle im EG-ABl 2009/C-214/1 verwiesen wird. Dort wird auf die Fassung EN 474-1:2006+A1:2009 verwiesen. In BBl 2013 9756 werden sodann die EN 474-1+A3 sowie EN 474-1+A4 bezeichnet mit den Fundstellen EG-ABl 2013/C 348/02. Dort wird auf EN 474-1:2006+A3:2013 verwiesen mit dem Vermerk, dass ab 28. November 2013 für die Fassung EN 474:2006+A1/2009 die Konformitätsvermutung nicht mehr gilt, sowie auf die EN 474-1:2006+A4:2013.

6.1.2. Die Beschwerdegegnerin macht (erstmals vor Bundesgericht) geltend, es handle sich beim streitbetroffenen Produkt nicht um eine Maschine, sondern um eine unvollständige Maschine i.S.v. Art. 1 Abs. 1 lit. g MRL i.V.m. Art. 1 Abs. 2 MaschV. Eine "unvollständige Maschine" ist gemäss Art. 2 lit. g MRL eine Gesamtheit, die fast eine Maschine bildet, für sich genommen aber keine bestimmte Funktion erfüllen kann, sondern dazu bestimmt ist, in andere Maschinen oder in andere unvollständige Maschinen oder Ausrüstungen eingebaut oder mit ihnen zusammengefügt zu werden, um zusammen mit ihnen eine Maschine im Sinne dieser Richtlinie zu bilden, wie z.B. ein Antriebssystem. Unvollständige Maschinen können die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen in Anhang I nicht in vollem Umfang erfüllen, da bestimmte Risiken möglicherweise daraus herrühren, dass die Maschine noch unvollständig ist, oder sich aber aus der Schnittstelle zwischen der unvollständigen Maschine und dem übrigen Teil der Maschine oder der Gesamtheit von Maschinen ergeben, in die die unvollständige Maschine eingebaut werden soll (Leitfaden MRL, a.a.O., § 18). Für sie gelten nicht die Anforderungen von Art. 12, sondern diejenigen von Art. 13 MRL (i.V.m. Art. 2 Abs. 1 lit. b MaschV; Leitfaden MRL, a.a.O., § 33). Zutreffend ist, dass die SWE mit einer anderen Maschine (Bagger) zusammengefügt wird; kumulativ ist aber für die Qualifikation als unvollständige Maschine auch erforderlich, dass das Produkt für sich genommen keine bestimmte Funktion erfüllen kann; diese Voraussetzung ist bei einer SWE nicht erfüllt, hat diese doch eine eigenständige Funktion. Das von der EU wie von der Schweiz bezeichnete Normenwerk geht denn auch davon aus, dass es sich bei Schnellwechseleinrichtungen um Maschinen handelt, sind doch dafür in der Norm SN EN 474-1 besondere Anforderungen festgelegt.

6.2. Die Norm SN EN 474-1 enthält in allen genannten Fassungen folgende Ziffer:

"5.21 Arbeitsausrüstungen und Schnellwechseleinrichtungen
Arbeitsausrüstungen und Schnellwechseleinrichtungen müssen den Anforderungen von Anhang B entsprechen."

Anhang B verlangt unter B.2 "Schnellwechseleinrichtungen" in der Fassung +A1:

"B.2.1 Verriegelung
Das Verriegelungssystem der Schnellwechseleinrichtung muss folgende Anforderungen erfüllen:

• das Verriegelungssystem der Schnellwechseleinrichtung muss mit einer formschlüssigen Verbindung ausgerüstet sein und die Verriegelungsstellung unter allen vorgesehenen/üblichen Betriebsbedingungen halten;
  
• es muss möglich sein, die Verriegelungsstellung der Schnellwechseleinrichtung vom Maschinenführerplatz aus oder von der Position aus, von der das Verriegelungsstellteil betätigt wird, zu überprüfen;
  
• es darf nicht möglich sein, dass sich die Verriegelung bei einer Funktionsstörung oder beim Verlust der Verriegelungskräfte löst.
  Keilförmige Verriegelungssysteme müssen ständig mit Kraft (z.B. ständiger Druckbeaufschlagung mit offenem Rückfluss, hydraulischem Druckspeicher, Federspeicher) beaufschlagt werden, um die Arbeitsausrüstung in Verriegelungsposition zu halten."

In den Fassungen +A3 und +A4 trägt die Ziff B.2.1 den Titel "Verriegelung und Verschliessen". Ziff. B.2.1.1 lautet:

"B.2.1.1 Verriegelung
Die Schnellwechseleinrichtung muss über ein Verriegelungssystem verfügen, das folgende Anforderungen erfüllt:
a) Es muss aus einer formschlüssigen Verbindung oder einer keilförmigen Verbindung oder einer kraftschlüssigen Verbindung bestehen. Eine reibschlüssige Verbindung ist nicht zulässig.
ANMERKUNG Eine formschlüssige Verbindung ist ein System von mindestens zwei Bauteilen, die so ineinandergreifen, dass die durch die Arbeitsbewegung erzeugte Kraft rechtwinklig zur Verriegelungsbewegung steht und die Arbeitseinrichtung in ihrer normalen Arbeitsposition hält. Dadurch wird durch diese Kraft keine Entriegelung verursacht.
b) es muss vom Maschinenführerplatz oder von der Position aus, von der die Schnellwechseleinrichtung betätigt wird, möglich sein, die vollständige Verriegelung zu überprüfen.
c) es darf nicht möglich sein, dass sich die Arbeitsausrüstung durch eine Fehlfunktion oder durch Nachlassen der Verriegelungskraft (-kräfte) löst. Prüfverfahren: Funktionsprüfung; die Arbeitsausrüstung darf sich in einer Prüfphase von 12 h und bei ausgeschalteter Maschine nicht von der Schnellwechseleinrichtung lösen."

Weiter enthält die Norm eine Ziff. B.2.1.2 "Verschliessen", wonach die Schnellwechseleinrichtung zusätzlich zum Verriegelungssystem ein Verschlusssystem haben muss, das bestimmte Anforderungen erfüllt.
Anhang B.2.4 lautet in allen drei Versionen übereinstimmend:

"Der Hersteller der Schnellwechseleinrichtung muss Anweisungen zu Montage, Verriegelung, Prüfverfahren und zum Einfluss auf die zulässige Tragfähigkeit (Traglast) /zulässige Hubfähigkeit (Traglast) bereitstellen. Das Kontrollverfahren für die Verriegelung muss im Detail, einschliesslich der Sicherheitsvorkehren im Fall von vorgeschriebenen Kontrollen während des Betriebes, beschrieben sein."

6.3. Das Bundesverwaltungsgericht hat festgestellt, in den Akten befinde sich eine Baumusterprüfbescheinigung der deutschen gesetzlichen Unfallversicherung für bestimmte SWE, welche gemäss den von der SUVA nicht bestrittenen Angaben der (damaligen) Beschwerdeführerin baugleich seien mit der zurzeit in Verkehr gebrachten SWE. Das decke sich mit der Tatsache, dass die SUVA nicht bestreite, dass das streitbetroffene Produkt der Norm SN EN 474-1 entspreche. Gemäss der in den Akten liegenden Baumusterprüfbescheinigung wird allerdings als Prüfgrundlage die Fassung +A1:2009 bezeichnet, nicht die aktuellen Fassungen +A3 und +A4. Das ist insofern von Bedeutung, als - wie vorne in E. 6.2 dargelegt - diese neuen Fassungen in Anhang B zusätzliche Anforderungen an Schnellwechseleinrichtungen enthalten.

6.4. Das WBF rügt nicht, die Norm SN EN 474-1 sei nicht eingehalten. Es weist allerdings darauf hin, dass die Ausgangsverfügung und die Beschwerdegegnerin nicht auf die aktuellste Fassung, sondern auf die Fassung +A1:2009 Bezug nähmen. Es führt aber aus, die Anpassungen +A3 und +A4 seien für die vorliegend zur Diskussion stehenden Fragen nicht relevant, weil die Norm in Bezug auf die korrekte Aufnahme eines Werkzeugs lückenhaft bleibe. In der Tat wird der Maschine der Beschwerdegegnerin einzig vorgeworfen, dass sie im Rahmen der Sequenz Aufnahme/Ankuppelung des Anbaugeräts Gefährdungen verursachen könne, weil das System keine verlässliche Überprüfung der Verriegelung ermögliche (siehe unten E. 7.1.1 und 7.1.3). Die in den neuen Fassungen +A3 und +A4 enthaltene neue Ziff. B.2.1.2 betrifft jedoch nicht den Verriegelungsvorgang. Die Anforderungen an die Verriegelung lauten - soweit hier von Interesse - in Ziff. B.2.1.1 der neuen Fassung inhaltlich gleich wie diejenigen in Ziff. B.2.1 der Fassung +A1. Auch die Ziff. B.2.4 stimmt in allen Fassungen überein. Daher ist den Vorbringen der Beteiligten zu folgen, wonach die Änderungen der Norm für den Ausgang des vorliegenden Verfahrens nicht relevant sind. Unerheblich ist daher auch, dass die Konformitätsvermutung der Fassung +A1 nicht mehr gilt.

6.5. Als Zwischenfolgerung ist festzuhalten, dass die streitbetroffene Maschine die Norm SN EN 474-1 einhält. Damit steht auch fest, dass es beim streitbetroffenen Produkt möglich ist, die Verriegelungsstellung vom Maschinenführerplatz aus zu überprüfen (Anhang B Ziff. B.2.1 zweiter Spiegelstrich in der Fassung +A1, bzw. Ziff. B.2.1.1 lit. b in den Fassungen +A3 und +A4; vorne E. 6.2). Umstritten ist, ob dies den gesetzlichen Anforderungen genügt oder ob - wie SUVA und WBF annehmen - eine technische Lösung die Situation verhindern muss, dass ein Maschinenführer sich darüber im Irrtum befinde, dass das Anbaugerät korrekt angekuppelt sei, um so ein Herunterfallen eines unkorrekt angekuppelten Geräts zu vermeiden.

6.6. Das WBF bringt vor, der Hersteller bzw. Inverkehrbringer müsse in jedem Fall eine Risikobeurteilung gemäss Anhang I MRL vornehmen, auch wenn er eine harmonisierte Norm anwende. Die Anwendung einer Norm sei daher kein Ersatz für die Erstellung einer Risikobeurteilung, weil ohne eine solche eventuell vorhandene Schutzlücken nicht erkannt werden könnten. Die Normen hätten gegenüber der MRL eine untergeordnete Rolle, da die MRL bzw. in der Schweiz die MaschV in der Normenhierarchie höher stehe als eine Norm. Soweit eine als wesentlich erachtete Anforderung in der harmonisierten Norm nicht abgehandelt werde, mithin eine Schutzlücke vorliege, gelte die Konformitätsvermutung nicht, so dass der Hersteller eigenständig Massnahmen definieren müsse, um das Risiko zu minimieren. Diese Auffassung ist insoweit zutreffend, als es um Risiken geht, die von der Norm nicht erfasst sind (vorne E. 5.6.5). In Bezug auf die von der Norm erfassten Risiken ist jedoch (unter Vorbehalt der Widerlegung der Konformitätsvermutung, hinten E. 8) keine eigene Risikobeurteilung mehr erforderlich, wenn die Norm eingehalten ist (vorne E. 5.6.4 und 5.6.5).

7.

Entscheidend und zu prüfen ist also, ob durch die anwendbare (und hier eingehaltene) Norm SN EN 474-1 die Gefahr der unkorrekten Verriegelung abgedeckt ist.

7.1.

7.1.1. Die SUVA hat ihre Verfügung vom 31. März 2014 damit begründet, trotz Einhaltung der Norm SN EN 474-1 gingen von der SWE relevante Gefährdungen aus. Diese entstünden durch fehlerhafte oder unvollständige Verriegelung der SWE in Kombination mit einem Fehlverhalten des Maschinenführers, indem dieser den Verriegelungstest nicht durchgeführt habe, so dass das Anbaugerät herunterfallen könne. Ein solches Fehlverhalten sei vorhersehbar und werde durch etliche Ereignisse und Unfälle belegt. Das Risiko einer nicht korrekten Verriegelung sei durch die Norm SN EN 474-1 nicht abgedeckt; es müsse über die Risikobeurteilung abgehandelt werden. Gemäss Nummer 1.1.2 von Anhang I MRL müssten Risiken in erster Linie durch konstruktive Massnahmen minimiert werden; Warnhinweise und Betriebsanleitungen seien kein Ersatz für konstruktive Massnahmen. Es müsse durch eine technische Lösung die Situation verhindert werden, dass ein Maschinenführer sich darüber im Irrtum befinde, dass das Anbaugerät korrekt angekuppelt sei.

7.1.2. Das Bundesverwaltungsgericht erwog, die in Ziff. 5.21 und Anhang B der Norm SN EN 474-1 enthaltenen Anforderungen an Verriegelung, Verschliessen und Stellteil verfolgten das Ziel, dass keine Anbaugeräte herunterfallen. Diese Gefährdung sei somit durch die Norm abgedeckt. Sodann enthalte Ziff. 10.6 von Anhang A das Risiko "Bedienungsfehler (zurückzuführen auf unzureichende Anpassung der Maschine an menschliche Eigenschaften und Fähigkeiten) " und verweise auf Ziff. 5.21. Auch das Risiko menschlichen Fehlverhaltens sei damit von der Norm abgedeckt. Die Norm enthalte daher keine Schutzlücke. Die Tatsache, dass die bestehenden Überprüfungsmöglichkeiten nicht immer wahrgenommen würden, liege in der Natur der Sache; daraus könne nicht der Schluss gezogen werden, dass die Norm lückenhaft sei. Das Produkt erfülle somit vermutungsweise gemäss Art. 5 Abs. 2 PrSG die grundlegenden Anforderungen und die Beweislast werde umgekehrt.

7.1.3. Das WBF macht dagegen geltend, die Norm enthalte in Bezug auf die Gefahr einer nicht korrekten Verriegelung eine Schutzlücke. Die relevante Gefährdung ergebe sich aus Nr. 15 des Anhangs A der Norm ("herabfallende oder herausgeworfene Gegenstände und Flüssigkeiten"), für welche aber nicht auf Ziff. 5.21 oder Anhang B verwiesen werde; die Norm enthalte daher eine Schutzlücke. Zudem sei in Anhang B die Aufnahme oder Ankoppelung der SWE mit keinem Wort erwähnt; die Anforderungen verhinderten eine unkorrekte Verriegelung nicht. Mit einer umfassenden Risikobeurteilung wäre diese Schutzlücke zum Vorschein gekommen. Da aber praktisch nur die Norm angewendet worden sei, ohne eine umfassende Risikobeurteilung vorzunehmen, sei die Schutzlücke nicht erkannt worden. Die in der Norm enthaltenen Anforderungen verhinderten eine unkorrekte Verriegelung nicht; der Maschinenführer könne von der Führerkabine aus zwar die Verriegelung anhand des Anzeigestabs überprüfen, der Anzeigestab sei jedoch nicht geeignet, die vollständige und korrekte Verriegelung zu dokumentieren. Die weiter vorgesehene Massnahme, nach dem Ankuppelungsvorgang einen Gegendrucktest auszuführen, der erkennen lasse, ob die Ankuppelung vollständig und korrekt erfolgt sei, sei eine rein organisatorische Massnahme, welche erst zulässig sei, wenn technische Massnahmen nicht möglich seien. Es sei vorhersehbar, dass ein Maschinenführer unter Stress den Fehler begehe, die vollständige Verriegelung nicht zu überprüfen. Diese Gefährdung durch menschliches Fehlverhalten unter Berücksichtigung psychischer Aspekte sei in der Norm nicht abgedeckt. Die Ziff. 10.6 von Anhang A beziehe sich nur auf Bedienungsfehler im Zusammenhang mit unerwartetem Anlauf oder unerwartetem Durchdrehen/Überdrehen (oder jeder vergleichbaren Fehlfunktion), nicht auf allgemeines Fehlverhalten; dieses sei nur in Ziff. 8.5 und 8.6 des Anhangs A genannt, welche jedoch weder auf Ziff. 5.21 noch auf Anhang B verwiesen, womit auch diesbezüglich eine Schutzlücke bestehe. Dem vorhersehbaren Fehlverhalten müsse mit technischen Massnahmen begegnet werden. Da somit die Norm Schutzlücken aufweise und die Beschwerdegegnerin keine vollständige Risikobeurteilung durchgeführt habe, gelte die Konformitätsvermutung nicht. Das streitbetroffene Produkt entspreche nicht den geltenden Anforderungen im Sinne von Art. 3 PrSG.

7.2. Die Norm SN EN 474-1 beschreibt in ihrer Ziff. 1 ihren Anwendungsbereich: Sie legt allgemeine sicherheitstechnische Anforderungen für Erdbaumaschinen fest. Sie behandelt "alle signifikanten Gefährdungen, Gefährdungssituationen und Gefährdungsereignisse, die auf Erdbaumaschinen zutreffen, wenn sie bestimmungsgemäss verwendet werden. Die nach vernünftigem Ermessen für den Hersteller vorhersehbare Nutzung der Maschine ausserhalb der bestimmungsgemässen Verwendung ist ebenfalls berücksichtigt (siehe Abschnitt 4). Die entsprechenden Massnahmen, um die Risiken, die von den signifikanten Gefährdungen, Gefährdungssituationen und Gefährdungsereignissen während der Inbetriebnahme, des Betriebs und der Instandhaltung der Erdbaumaschine ausgehen, zu verhindern oder zu minimieren, sind in dieser Europäischen Norm beschrieben."
Abschnitt 4 lautet:

"4 Liste der signifikanten Gefährdungen
Siehe Anhang A
ANMERKUNG Der Anhang A (normativ) enthält alle signifikanten Gefährdungen, Gefährdungssituationen und Gefährdungsereignisse, soweit sie in dieser Europäischen Norm behandelt werden, die nach dem Verfahren zur Abschätzung des Risikos als signifikant für zwei oder mehr Maschinenteile festgestellt wurden und für die Massnahmen zur Beseitigung oder Reduzierung des Risikos erforderlich sind."

Anhang A ist so gegliedert, dass er eine Anzahl von Gefährdungen auflistet und dafür jeweils auf bestimmte Abschnitte in der Norm verweist.

7.3. Auf Ziff. 5.21 wird in Anhang A zwar nicht unter Ziff. 15 ("herabfallende oder herausgeworfene Gegenstände oder Flüssigkeiten") verwiesen, wohl aber unter Ziff. 14 "Fehlerhafte Montage". Im Zusammenhang mit den in Ziff. 5.21 behandelten Arbeitsausrüstungen und Schnellwechseleinrichtungen muss sich das offensichtlich auf die fehlerhafte Montage von Arbeitsausrüstungen mittels Schnellwechseleinrichtungen beziehen (vgl. die Definition von Arbeitsausrüstung in Ziff. 3.2: "Arbeitswerkzeug: Bauteil oder Satz von Bauteilen, das [der] zu einer speziellen Verwendung entweder an die Grundmaschine oder an die Einrichtung [...] montiert werden kann"). Sodann wird unter Ziff. 25.1.3 von Anhang A genannt: "Mechanische Gefährdungen und Gefährdungsereignisse durch herabfallende Lasten, [...] wegen ungeeigneter Befestigungsmittel/Zubehörteile"; dabei wird auf B.2 verwiesen. Die Gefährdung durch unkorrekte Montage oder Herunterfallen eines Arbeitsgeräts ist somit von der Norm erfasst. Zu diesem Zweck enthält Anhang B.2 die Anforderung, dass es möglich sein muss, die vollständige Verriegelung vom Maschinenführerplatz aus (oder von der Position aus, von der die SWE betätigt wird) zu überprüfen. Es ist nicht nachvollziehbar, weshalb die vollständige Verriegelung überprüfbar sein soll, wenn nicht mit dem Zweck, eine unvollständige Verriegelung zu erkennen und damit auch vermeiden zu können, dass das Anbauwerkzeug hinunterfällt. Ebenso ergibt sich aus dem Umstand, dass die Überprüfbarkeit vom Maschinenführerplatz aus möglich sein muss, dass die Überprüfung durch den Maschinenführer vorzunehmen ist. Der Bedienungsfehler, für den in Anhang A Ziff. 10.6 auf Ziff. 5.21 verweist, bezieht sich nicht nur auf unerwarteten Anlauf oder unerwartetes Durchdrehen/Überdrehen, sondern auch auf jede vergleichbare Fehlfunktion. Schliesslich verlangt Ziff. B.2.4, dass der Hersteller der SWE Anweisungen zu (u.a.) Montage, Verriegelung und Prüfverfahren bereitstellen muss. Auf diese Ziffer wird im Anhang A unter Ziff. 24 "Unzureichende Anweisungen für den Fahrer/Maschinenführer" hingewiesen. Entgegen der Auffassung des Beschwerdeführers behandelt die Norm somit das Risiko einer unkorrekten Verriegelung durch Bedienungsfehler und sie sieht eine Massnahme vor, welche genau dieses Risiko reduzieren soll, nämlich die Überprüfbarkeit der Verriegelung durch den Maschinenführer und die Pflicht des Herstellers, in der Bedienungsanleitung Anweisungen für die Verriegelung zu geben. Eine andere Frage ist dann, ob diese von der Norm vorgesehene Massnahme das Risiko hinreichend reduziert. Dies betrifft aber nicht die Tragweite der Konformitätsvermutung, sondern die Frage, ob diese widerlegt werden kann (dazu unten E. 8).

7.4. Als Zwischenfolgerung ergibt sich, dass das hier einzig zur Diskussion stehende Risiko einer unkorrekten Verriegelung der SWE von der Norm SN EN 474-1 abgedeckt ist. Damit gilt die Konformitätsvermutung von Art. 5 Abs. 2 PrSG. Daran ändert nichts, dass - wie das WBF vorbringt - nach den Regeln der Normenhierarchie das Gesetz bzw. die Maschinenrichtlinie über der Norm steht. Denn erstens ergibt sich die Konformitätsvermutung aus Art. 5 Abs. 2 PrSG, also aus dem Gesetz selber, während die Verweisung auf die MRL nur auf Verordnungsebene (Art. 2 Abs. 1 lit. b MaschV) enthalten ist, so dass auch die MRL selber in der Schweiz nur Verordnungscharakter hat. Zweitens entspricht die schweizerische Regelung derjenigen, die auch nach Art. 7 Abs. 2 MRL gilt (vorne E. 5.7).

8.

Zu prüfen ist sodann, ob die Konformitätsvermutung widerlegt ist.

8.1.

8.1.1. Die SUVA hat in ihrer Verfügung vom 31. März 2014 und im Verfahren vor Bundesverwaltungsgericht vorgebracht, es sei im Zusammenhang mit SWE, welche die SN EN 474-1 einhalten, verschiedentlich zu Unfällen gekommen, worunter zwei tödlichen, und sie hat dazu Unterlagen eingereicht.

8.1.2. Die Vorinstanz hat dazu erwogen, die vorgelegten Unterlagen würden keine Hinweise auf Marke oder Typ der involvierten SWE enthalten. Die beiden tödlichen Unfälle seien durch SWE einer anderen Herstellerfirma verursacht worden, bei denen bestimmte Details anders gestaltet seien als beim streitbetroffenen Produkt. Aufgrund der Unfallereignisse könne nicht geschlossen werden, dass alle SWE die grundlegenden Anforderungen verletzen würden. Auch die genaue Ursache der Unfälle bleibe weitgehend unklar; nur bei den beiden tödlichen Unfällen werde die Unfallursache genau beschrieben; sie bestehe darin, dass die Bolzen ausgefahren seien, aber nicht unterhalb der unteren Achsen des Geräterahmens zu liegen kommen, und gleichzeitig die optischen und akustischen Warnungen erlöschen, so dass der Maschinist irrtümlich davon ausgehen könne, dass das Anbaugerät korrekt angekuppelt sei. Ob diese Fehlerkette auch beim streitbetroffenen Produkt auftrete, habe die SUVA nicht nachgewiesen. Die Vorinstanz kam deshalb zum Schluss, dass die Konformitätsvermutung nicht widerlegt sei.

8.1.3. Der Beschwerdeführer kritisiert, die Vorinstanz habe die konkrete Sachlage ignoriert. Sie habe die technischen Unterlagen nicht gewürdigt und nicht erkannt, dass das streitbetroffene Produkt ebenfalls nach dem kritisierten Prinzip funktioniere. Die Vorinstanz verlange ein überhöhtes Beweismass, wenn sie es als nicht erwiesen erachte, dass die Fehlerkette, welche zu den Unfällen geführt habe, auch beim streitbetroffenen Produkt auftrete; als Ursache der Unfälle komme einzig eine unkorrekte Verriegelung in Frage, die nach dem Funktionsprinzip des streitbetroffenen Geräts auch bei diesem möglich sei. Begründete Zweifel an der Konformität müssten ausreichen, um die Konformitätsvermutung umzustossen.

8.2. Nicht bestritten ist die Feststellung der Vorinstanz, dass die zitierten Unfälle nicht von einem Produkt des streitbetroffenen Typs verursacht wurden und dass nicht im Einzelnen nachgewiesen ist, dass das streitbetroffene Produkt die gleiche technische Ausführung aufweist wie diejenigen SWE, welche die zwei tödlichen Unfälle verursacht haben. Zutreffend ist, dass die Vorinstanz nicht im Einzelnen auf die technischen Unterlagen eingegangen ist. Sie brauchte dies allerdings auch nicht von Amtes wegen zu tun, da sie mit Recht von der Konformitätsvermutung ausging (vorne E. 7) und es daher Sache der SUVA war, diese Vermutung zu widerlegen (vorne E. 5.7) und die dazu erforderlichen Angaben zu machen. Die SUVA ist in ihrer Verfügung vom 31. März 2014 nicht im Detail auf die technische Beschaffenheit des streitbetroffenen Produkts eingegangen, sondern hat die Massnahme damit begründet, dass ein Herunterfallen des Anbaugeräts nicht mit technischen Massnahmen verhindert werde. In der Vernehmlassung vor dem Bundesverwaltungsgericht hat sie technische Erläuterungen zur SWE-Problematik eingereicht und zugleich eingeräumt, dass bestimmte Details bei verschiedenen Produkten anders gestaltet sein könnten; doch bleibe die Grundproblematik überall dieselbe, nämlich dass eine mangelhafte Verriegelung vom Maschinenführer oftmals nicht erkannt werde, obwohl eine Überprüfung möglich wäre. Dass beim streitbetroffenen Produkt eine unvollständige Verriegelung nicht mit technischen Mitteln verunmöglicht wird, ist nicht umstritten. Der Streit dreht sich vielmehr um die Frage, ob bereits deshalb die Konformitätsvermutung umgestossen ist.

8.3.

8.3.1. Wie bereits ausgeführt, legen die grundlegenden Sicherheits- und Gesundheitsanforderungen nach Anhang I MRL nicht detailliert fest, wie hoch das erforderliche Sicherheitsniveau sein muss. Allerdings finden sich doch einige Hinweise: So ist zunächst - als "erste[r] Schritt des im allgemeinen Grundsatz 1 [des Anh. 1 MRL] beschriebenen Verfahrens der Risikobeurteilung" (Leitfaden MRL, a.a.O., § 172 [S. 156]) - das mit einer Maschine verbundene Risiko, das die Marktüberwachungsbehörde zu beurteilen hat, nicht auf das Risiko zu begrenzen, das bei normaler, d.h. bestimmungsgemässer Verwendung der Maschine (vgl. HESS, Sicherheit, a.a.O., S. 37 f.; siehe auch Ziff. 1.1.1. lit. h Anh. 1 MRL) besteht. Vielmehr ist auch jede vernünftigerweise vorhersehbare Fehlanwendung (zum Begriff: Ziff. 1.1.1. lit. i Anh. 1 MRL) zu berücksichtigen - wie verschiedene Bestimmungen der MRL fordern (vgl. Anh. I Allgemeine Grundsätze Ziff. 1 Abs. 2 erster Spiegelstrich, Ziff. 1.1.2 lit. a und c Abs. 1 Anh. I MRL; vgl. Leitfaden MRL, a.a.O., § 172 S. 156; Urteil des EuG vom 15. Juli 2015 T-337/13 CSF Srl, Rnr. 56, 59, 60 i.f.; HESS, Handkommentar, a.a.O., Rz. 20 i.i.). Einem Unternehmer ist deshalb zumutbar, dass er sich die Spielarten eines Fehlgebrauchs ausmalt und sie in die Produktgestaltung einplant (vgl. EUGÉNIE HOLLIGER-HAGMANN, Produktesicherheitsgesetz, 2010, S. 122 ff.). Nicht anders verhält es sich bei Schnellwechseleinrichtungen. Dabei kann sich der Hersteller seiner Pflicht, nur sichere Produkte in Verkehr zu bringen, nicht dadurch entledigen (siehe unten E. 8.3.2-8.3.4), dass er eine Gebrauchsanweisung mit Gefahrenwarnungen verfasst (vgl. Urteil des EuG vom 15. Juli 2015 T-337/13 CSF Srl, Rnr. 69 f.; siehe auch Leitfaden MRL, a.a.O., § 174 S. 162 i.f.). Insofern umfasst im vorliegenden Fall das Risiko auch die nicht korrekte Verriegelung der Schnellwechseleinrichtung (= Fehlgebrauch [Unachtsamkeit: vgl. Leitfaden MRL, a.a.O., § 172 S. 157]), da dies eine Verwendung darstellt, mit der vernünftigerweise zu rechnen und die vorhersehbar ist. Dies ist im Grundsatz unbestritten.

8.3.2. Angesichts der Schwierigkeit, die Höhe des erforderlichen Sicherheitsniveaus zu bezeichnen, hat die MRL - wie bereits ausgeführt - eine bestimmte Methodik und bestimmte Kriterien festgelegt: Ziff. 1.1.2. Anh. I MRL legt die fundamentalen Grundsätze für die Integration der Sicherheit fest. Die Sicherheit soll primär durch "Sicherheit durch Konstruktion" (Leitfaden MRL, a.a.O., § 173 S. 157, § 174 S. 160) erreicht werden. Dies zeigt sich auch implizit in der Methodik, welche in Ziff. 1.1.2. lit. b Anh. 1 MRL zum Ausdruck kommt: Bei der Wahl der angemessensten Lösung muss der Hersteller folgende Grundsätze anwenden, und zwar in der angegebenen Reihenfolge: Erstens Beseitigung oder Minimierung der Risiken so weit wie möglich (Integration der Sicherheit in Konstruktion und Bau der Maschine); zweitens Ergreifen der notwendigen Schutzmassnahmen gegen Risiken, die sich nicht beseitigen lassen; drittens Unterrichtung der Benutzer über die Restrisiken aufgrund der nicht vollständigen Wirksamkeit der getroffenen Schutzmassnahmen; Hinweis auf eine eventuell erforderliche spezielle Ausbildung oder Einarbeitung und persönliche Schutzausrüstung. Sicherheit durch Konstruktion hat Vorrang. Der zweite Schritt (technische Schutzmassnahmen) ist nur dann zulässig, "wenn es nicht möglich ist, durch Massnahmen zur Integration der Sicherheit in die Konstruktion Gefährdungen zu beseitigen oder Risiken hinreichend zu verringern" (vgl. Leitfaden MRL, a.a.O., § 174 S. 161; CARSTEN SCHUCHT/NORBERT BERGER, Praktische Umsetzung der Maschinenrichtlinie, 2016, S. 110; WILRICH, a.a.O., S. 118 f.). M.a.W. ist unmittelbare Gefahrenabwehr durch Konstruktion vorrangig gegenüber der mittelbaren technischen Sicherheit (WILRICH, a.a.O., Rz. 308 i.f.). Die von den Herstellern zu ergreifenden Massnahmen müssten demnach zum Ziel haben, "bereits im Stadium der Konstruktion und des Baus der Maschine jedes Risiko auszuschliessen, zu dem ihre bestimmungsgemässe Verwendung oder ihre vernünftigerweise vorhersehbare Fehlanwendung führen könnte" (Urteil des EuG vom 15. Juli 2015 T-337/13 CSF Srl, Rnr. 71 i.i.). Dies wird auch durch Ziff. 1.2.1 Anhang I MRL bestätigt: So sind Steuerungen (zum Begriff vgl. Leitfaden MRL, a.a.O., § 184 Abs. 1 S. 175) von Maschinen so zu konzipieren und zu bauen, dass es nicht zu Gefährdungssituationen kommt. Insbesondere müssen sie so ausgelegt und beschaffen sein, dass ein bewegliches Maschinenteil oder ein von der Maschine gehaltenes Werkstück u.a. nicht herunterfallen darf. Im Leitfaden MRL werden dabei die zugehörigen Teile der Steuerung zu Verriegelungseinrichtungen besonders hervorgehoben (Leitfaden MRL, a.a.O., § 184 Abs. 3 S. 176).

8.3.3. Bei all dem ist zu berücksichtigen, dass die nach Ziff. 1.1.2. lit. b Anh. I MRL vorgesehene Reihenfolge der Grundsätze für die Integration der Sicherheit unabhängig von der Grösse des Risikos anzuwenden ist. Auch bei kleinen Risiken ist zunächst zu prüfen, ob die Sicherheit in Konstruktion und Bau der Maschine erfolgen kann, um damit Risiken zu beseitigen oder zu minimieren - allerdings nur "so weit wie möglich". Solange also eine Schutzmassnahme auf einer höheren Stufe möglich und zumutbar ist, darf nicht auf eine niedrigere Stufe ausgewichen werden (WILRICH, a.a.O., Rz. 308). Fehl ginge diesbezüglich deshalb auch eine Argumentation, wonach sich bei Maschinen naturgemäss Unfälle infolge menschlichen Fehlverhaltens ereignen. Denn Ziff. 1.1.2. lit. b Anh. I MRL will mit der Sicherheit durch Konstruktion (d.h. technisch bauliche Massnahmen) dieses, sofern es vernünftigerweise vorhersehbar ist, so weit wie möglich gerade ausschliessen. Angesichts der Vorgaben von Ziff. 1.1.2. lit. b Anh. I MRL ist es auch müssig darüber zu diskutieren, ob mit der vorgegebenen Abarbeitung der Risiken diese bei jedem einzelnen Schritt signifikant reduziert werden. Massgebend ist allein, ob eine Schutzmassnahme auf einer höheren Stufe möglich und zumutbar ist.

8.3.4. Die Massnahmen zur Integration der Sicherheit in Konstruktion sind nur "so weit wie möglich" an die Hand zu nehmen. Damit wird auf die Zumutbarkeit verwiesen (vgl. WILRICH, a.a.O., Rz. 308, 340 ff.; siehe auch Erwägungsgrund 14 MRL). Ist eine Massnahme nicht zumutbar, dürfen und müssen Massnahmen der zweiten Stufe ergriffen werden. Da dem Aufwand zur Beseitigung von Gefährdungen und zur Erreichung von Sicherheit grundsätzlich keine Grenzen gesetzt sind, stellt sich die Frage, wann für die einzelnen Stufen die Zumutbarkeit überschritten wird. Das PrSG fordert kein Nullrisiko - wie insbesondere Art. 3 Abs. 1 i.f. PrSG klar macht. Allerdings kann man sich nach Ziff. 1.1.2. lit. b Anh. I MRL nur innerhalb einer Stufe auf die fehlende Zumutbarkeit berufen. Es ist also nicht möglich, Massnahmen der dritten Stufe (Gebrauchsanweisung) gegenüber der ersten Stufe (bauliche Massnahmen) zu vergleichen. Wo die Unzumutbarkeitsgrenze genau verläuft, ist im Einzelfall zu beurteilen. Es sind diejenigen Massnahmen zu treffen, die nach den Gegebenheiten des konkreten Falles zur je nach Stufe nach Ziff. 1.1.2. lit. b Anh. I MRL geforderten Risikoverminderung erforderlich und nach objektiven Massstäben zumutbar sind. Die Massnahmen hängen dabei von der "Schwere möglicher Verletzungen oder Gesundheitsschäden" und "der Wahrscheinlichkeit ihres Eintretens" (vgl. Anhang I Allgemeine Grundsätze Ziff. 1 Abs. 2 drittes Lemma MRL) ab und je grösser die möglichen Schäden sind, desto strengere Massnahmen sind zu ergreifen. Insgesamt sind die wirksamsten Massnahmen anzuwenden, deren Kosten zu den Gesamtkosten der betreffenden Maschinenkategorie und der erforderlichen Risikominimierung in einem angemessenen Verhältnis stehen (vgl. Leitfaden MRL, a.a.O., § 161 S. 149).

8.4. Im vorliegenden Fall ist unbestritten, dass bei einer unkorrekten Handhabung des Verriegelungssystems schwere Gesundheitsschäden auftreten können; die Eintrittswahrscheinlichkeit wurde weder von den Vorinstanzen noch vom Beschwerdeführer quantifiziert. Erwähnt wurden einige Unfälle, wovon zwei tödliche, doch wurden diese nicht in Relation zur Anzahl Betriebsstunden gesetzt. Trotzdem liegt ein zu regulierendes Risiko vor, was auch die Norm SN EN 474-1 mit entsprechenden Vorschriften anerkennt. Diese enthält zwar für die Verriegelung (Ziff. B.2.1 erstes Lemma Anh. B) eine technische Regelung - allerdings hat sie nur die normalen Betriebsbedingungen im Blick. Für vernünftigerweise vorhersehbare Fehlanwendungen sieht sie - entgegen den grundlegenden Sicherheits- und Gesundheitsschutzvorschriften nach Ziff. 1.1.2. lit. b Anh. I MRL - nur organisatorische Massnahmen (= Massnahmen nach Ziff. 1.1.2 lit. b zweites Lemma Anh. I MRL; dazu WILRICH, a.a.O., Rz. 308) vor: Die Verriegelungsstellung muss vom Maschinenführerplatz oder von der Position aus, von der das Verriegelungsstellteil betätigt wird, überprüft werden können (Ziff. B.2.1 zweites Lemma Anh. B). Die Norm SN EN 474-1 verlangt - wie der Beschwerdeführer und auch die SUVA während des Verfahrens wiederholt und genügend klar vorgebracht haben - hingegen keine Integration der Sicherheit in Konstruktion und Bau der Maschine für vernünftigerweise vorhersehbare Fehlanwendungen, mithin keine diesbezügliche Beseitigung oder Minimierung dieser Risiken. Wie bereits ausgeführt, können organisatorische Massnahmen (vgl. dazu WILRICH, a.a.O. Rz. 308) erst dann ergriffen werden, wenn die technisch baulichen Massnahmen unverhältnismässig wären (vgl. WILRICH, a.a.O., Rz. 308). Insofern berücksichtigt die Norm SN EN 474-1 einen fundamentalen Aspekt der grundlegenden Sicherheits- und Gesundheitsanforderungen nicht, weshalb die entsprechenden Schnellwechseleinrichtungen, die sich an der Norm SN EN 474-1 orientieren, die grundlegenden Sicherheits- und Gesundheitsanforderungen verletzen. Insofern ist die Vermutung von Art. 5 Abs. 2 PrSG widerlegt.

9.

9.1. Das streitbetroffene Produkt ist in der EU nach EU-Vorschriften hergestellt worden. Es ist deshalb zu prüfen, ob das MRA der Vermutungswiderlegung entgegensteht.

9.2. Der Sinn dieses Abkommens besteht darin, dass für die Vermarktung eines Produkts in der Schweiz und in der EU nur noch eine einzige Konformitätsbewertung oder Zulassung erforderlich ist, um so technische Handelshemmnisse abzubauen (Präambel MRA; Botschaft vom 23. Juni 1999 zur Genehmigung der sektoriellen Abkommen zwischen der Schweiz und der EG [Botschaft bilaterale Abkommen], BBl 1999 6128 ff., 6148 f., 6170 f., 6213; HEINZ HERTIG, Grundzüge des Abkommens über die gegenseitige Anerkennung von Konformitätsbewertungen, in: Felder/Kaddous [Hrsg.], Accords bilatéraux Suisse - UE, 2001, S. 555 ff., 556 f.) und so das Tor zum Binnenmarkt zu öffnen (PFENNINGER, FS Hänni, a.a.O., S. 420). Das MRA kennt zwei verschiedene Anerkennungsmechanismen: In denjenigen Bereichen, in denen die Anforderungen der EU und diejenigen der Schweiz nicht als gleichwertig anerkannt werden, anerkennen die Gemeinschaft und die Schweiz gegenseitig die von den gemäss den in diesem Abkommen festgelegten Verfahren anerkannten Stellen ausgestellten Berichte, Bescheinigungen, Zulassungen und Konformitätskennzeichen sowie die Konformitätserklärungen des Herstellers, mit denen die Übereinstimmung mit den Anforderungen der anderen Vertragspartei in den in Artikel 3 genannten Bereichen bescheinigt wird (Art. 1 Abs. 1 MRA). In den Fällen, in denen die schweizerischen Anforderungen mit denen der Gemeinschaft als gleichwertig beurteilt werden, anerkennen die Gemeinschaft und die Schweiz zur Vermeidung doppelter Verfahren gegenseitig die von den anerkannten Konformitätsbewertungsstellen ausgestellten Berichte, Bescheinigungen und Zulassungen sowie die Konformitätserklärungen des Herstellers, mit denen die Übereinstimmung mit ihren jeweiligen Anforderungen in den in Artikel 3 genannten Bereichen bescheinigt wird (Art. 1 Abs. 2 MRA). Diese vereinfachte Form der gegenseitigen Anerkennung erlaubt es einer Stelle, die Konformität eines Produkts auf der Grundlage einer einzigen Gesetzgebung zu bewerten, da diese mit der Gesetzgebung der anderen Vertragspartei als gleichwertig anerkannt wird. Dies bedeutet, dass Schweizer Produkte ein einziges Mal auf der Grundlage der schweizerischen Gesetzgebung kontrolliert und anschliessend direkt auf den EU-Markt gebracht werden können (Botschaft bilaterale Abkommen, BBI 1999 6214 f., 6225, 6431; THEODOR BÜHLER, Abkommen über die gegenseitige Anerkennung von Konformitätsbewertungen, in: Thürer et al [Hrsg.], Bilaterale Verträge I & II Schweiz - EU, 2007, S. 581 ff., 601 f.; HERTIG, a.a.O., S. 557 f.; HANSPETER PFENNINGER, Produktsicherheitsrecht Schweiz - EU im Vergleich, AJP 2014 S. 1157 ff., 1161; VINCENT MARTENET/PIERRE TERCIER, Loi fédérale sur les entraves techniques au commerce [LETC], in: Commentaire romand, Droit de la concurrence, 2. Aufl. 2013, S. 2159 ff., Intro LETC Rz. 122; OSCAR ZOSSO, Das Abkommen über die gegenseitige Anerkennung von Konformitätsbewertungen: eine politische und wirtschaftliche Würdigung, in: Felder/Kaddous, a.a.O., S. 449 ff., 550). Umgekehrt werden Produkte aus der EU ein einziges Mal auf der Grundlage der EU-Gesetzgebung kontrolliert und können anschliessend direkt auf den schweizerischen Markt gebracht werden. Festzuhalten ist dabei, dass das MRA nur die Anerkennung der Konformitätsbewertungsergebnisse regelt und nicht die Harmonisierung des diesem Verfahren zugrundeliegenden Rechts (vgl. PFENNINGER, AJP 2014, a.a.O., S. 1161) bzw. nicht die Anerkennung von technischen Vorschriften oder Normen (vgl. GEORGIOS DIMITROPOULOS, Zertifizierung und Akkreditierung im Internationalen Verwaltungsverbund, 2012, S. 132 mit Fn. 442).

9.3. Gemäss Art. 1 Abs. 3 MRA legt der durch das MRA gebildete Ausschuss fest, in welchen Fällen Absatz 2 Anwendung findet. Gemäss Art. 3 gilt dieses Abkommen für die durch die Rechts- und Verwaltungsvorschriften in Anhang 1 verbindlich vorgeschriebenen Konformitätsbewertungsverfahren. Anhang 1 legt fest, welche Produktsektoren unter dieses Abkommen fallen. Gemäss Anhang 1 Kapitel 1 gehören dazu auch Maschinen, wobei in Abschnitt 1 für die EU die Richtlinie 2006/42/EG und für die Schweiz das PrSG, die PrSV und die MaschV als Bestimmungen des Art. 1 Abs. 2 bezeichnet werden. Die Vorschriften gelten somit als gleichwertig. Die Konformitätserklärungen der Hersteller, mit denen die Übereinstimmung von Maschinen mit dem EU-Recht bescheinigt wird, sind daher gemäss Art. 1 Abs. 2 auch in der Schweiz anzuerkennen.

9.4. Zu klären ist nunmehr, wie sich die Verpflichtung, die Konformitätserklärungen der Hersteller, mit denen die Übereinstimmung von Maschinen mit dem EU-Recht bescheinigt wird, anzuerkennen, auf das vorliegende Verfahren auswirkt. Das Inverkehrbringen des hier strittigen Produkts richtet sich nach dem PrSG und der MaschV i.V.m. der MRL. In diesem Rahmen sind u.a. verschiedene Nachweise und bei einem grenzüberschreitenden Sachverhalt wie hier eine EU-Konformitätserklärung zu erbringen. Nur auf diesen Teilbereich bezieht sich das MRA. Folgerichtig können die schweizerischen Behörden im Rahmen der Marktüberwachung deshalb auch überprüfen, ob die für das Inverkehrbringen eines in der Europäischen Union im Verkehr befindlichen Produkts erforderliche Konformitätserklärung zu Recht erfolgt ist (vgl. Urteile 2C_754/2010 vom 1. Februar 2011 E. 3.7; 2C_790/2009 vom 21. Oktober 2010 E. 4.4). Dabei dürfen angesichts der gleichwertigen Rechtsgrundlage die schweizerischen Behörden eine EU-Konformität nicht mit der Begründung verneinen, das Schutzniveau sei in der Schweiz höher als in der EU (vgl. PFENNINGER, FS Hänni, a.a.O., S. 433 f.). Nicht Gegenstand des MRA bildet indes die Frage, ob die technischen Normen auch tatsächlich die grundlegenden Sicherheits- und Gesundheitsanforderungen erfüllen. Zur Beantwortung dieser Frage ist allein das PrSG anwendbar (so wohl auch das Urteil 2C_754/2010 vom 1. Februar 2011 E. 3.7 Abs. 2, das nach Bezugnahme auf das MRA ausdrücklich festhält, "dass [wenn] die auf das betreffende Gerät anwendbaren technischen Vorschriften nicht eingehalten sind, [...] die erforderlichen Massnahmen zu treffen [sind]." Technische Vorschriften sind rechtsverbindliche Regeln [Art. 3 lit. b THG], was die grundlegenden Sicherheits- und Gesundheitsanforderungen nach Art. 4 PrSG sind) : Nach Art. 1 Abs. 3 MRA sollen doppelte Verfahren vermieden werden. Da das PrSG und auch die MRL auf dem Grundsatz der Selbstregulierung basieren (Art. 5 PrSG, Art. 7 MRL), umfasst das Verfahren nur dasjenige Verfahren, wonach festgestellt wird, dass das Produkt den festgelegten Anforderungen entspricht (Art. 2 Ziff. 1 Begriff: Konformitätsbewertung MRA). Das Verfahren klärt demgegenüber nicht, dass das Produkt den Anforderungen nach Art. 4 PrSG bzw. Art. 5 MRL entspricht. Dies wird nur vermutet, und die Vermutung kann in einem separaten Verfahren widerlegt werden. Anders wäre zu entscheiden, wenn das Verfahren in einer staatlichen Zulassung, welche ebenfalls Gegenstand des MRA bildet (vgl. ZOSSO, a.a.O., Fn. 2), enden würde, weil dort eine Übereinstimmung des Produkts mit dem rechtsverbindlichen Recht festgestellt wird (zu einer solchen Regelung siehe Art. 4 BGBM [SR 943.02]). Würde demgegenüber mit der Verpflichtung, die Konformitätserklärungen der Hersteller, mit denen nur die Übereinstimmung von Maschinen mit den technischen Normen der EU bescheinigt wird, anzuerkennen, auch die Konformität der unverbindlichen, nur vermutungsweise rechtskonformen Regeln mit dem verbindlichen Recht umfassen, würden durch einen Staatsvertrag bisher unverbindliche Regeln unter der Hand zu nicht überprüfbarem verbindlichen Regeln, d.h. zu Recht, was ja - wie bereits oben ausgeführt (oben E. 9.2) - nicht der Regelung des MRA entspricht. Abgesehen davon, wären bei einem solchen Verständnis der Schweiz bei einem akuten nicht tragbaren Risiko auch die Hände gebunden, um entsprechende Massnahmen zu ergreifen (siehe auch diese E. i.f.), was nicht der Intention des MRA entspricht: Mit dem MRA soll zwar der Handel erleichtert werden, allerdings nur unter gleichzeitiger Wahrung u.a. des Gesundheitsschutzes und der Sicherheit (Präambel MRA). Diese Auffassung lässt sich auch Art. 12 Abs. 4 MRA entnehmen, wonach jede Vertragspartei die andere Vertragspartei unverzüglich über die in ihrem Gebiet getroffenen Schutzmassnahmen unterrichtet. Für dieses Verständnis spricht sodann auch die Perspektive der EU-Staaten: Nach der MRL sind in erster Linie die nationalen Behörden dafür zuständig zu beurteilen, ob eine Maschine die Gesundheit oder Sicherheit von Personen zu gefährden droht und allfällige Massnahmen zu ergreifen. "Die zu diesem Zweck in Art. 11 [MRL] vorgesehene Schutzklausel muss in Zusammenhang mit Art. 114 Abs. 10 AEUV gesehen werden, der es den Mitgliedstaaten erlaubt, aus einem oder mehreren der in Art. 36 AEUV genannten nicht wirtschaftlichen Gründe [...], zu denen der Schutz der Gesundheit und des Lebens von Menschen gehört, solche Massnahmen zu treffen" (Urteil des EuG vom 15. Juli 2015 T-337/13 CSF Srl, Rnr. 79). Solche Schutzklauseln stellen ein Instrumentarium dar, um in Notfällen schnell reagieren zu können. Zwar ist damit zwingend ein Kontrollverfahren verbunden, um die Rechtmässigkeit der Massnahme beurteilen zu können (vgl. MATTHIAS ROSSI, in: Vedder/Heintschel von Heinegg [Hrsg.], Europäisches Unionsrecht, Kommentar, 2012, N. 11 ad Art. 114 AEUV), doch ändert dies nichts an der Tatsache, dass die nationalen Behörden bei einer Sachlage, gemäss welcher das Produkt nicht den grundlegenden Gesundheits- und Sicherheitsanforderungen genügt, die notwendigen Massnahmen ergreifen können müssen, um einen möglichen Schaden abwenden zu können. Insofern ist deshalb davon auszugehen, dass die Mitgliedstaaten nicht auf ihr diesbezügliches Recht verzichtet haben.
Entsprechend Art. 12 Abs. 4 MRA hat die Schweiz die andere Vertragspartei über die getroffenen Schutzmassnahmen zu informieren.

10.

Nach den bisherigen Ausführungen hat die Beschwerdegegnerin somit das Risiko durch technische Massnahmen zu beseitigen oder zu minimieren - auch wenn die Beschwerdegegnerin die Machbarkeit einer technischen Lösung bezweifelt und eine solche auch nicht aktenkundig ist. In diesem Zusammenhang ist es auch nicht Aufgabe der SUVA, solche Lösungen vorzuschlagen, auch wenn Art. 10 Abs. 2 PrSG dies vom Wortlaut her nicht ausschliesst. PrSG und THG basieren auf dem Regulierungsansatz der regulierten Selbstregulierung, wonach der Staat lediglich den Rahmen setzt. Innerhalb dieses Rahmens obliegt die Regulierung den Privaten. So überlässt das PrSG es bewusst den Inverkehrbringern, wie sie ihre Produkte im Rahmen der grundlegenden Sicherheits- und Gesundheitsanforderungen technisch-konstruktiv umsetzen. Es ist deshalb im Rahmen des Vollzugs ebenfalls nicht Aufgabe des Staates, Lösungen vorzuschlagen, ansonsten das System der regulierten Selbstregulierung über den Vollzug unterlaufen würde. Abgesehen davon verfügt der Staat in aller Regel nicht über das gleiche Wissen in Bezug auf die einzelnen Maschinen wie der Hersteller oder Konstrukteur. Schliesslich sprechen auch staatshaftungsrechtliche Fragen für eine Zurückhaltung. Zusammenfassend liegt es somit in der Kompetenz des Herstellers zu entscheiden, wie bzw. in casu mit welcher baulichen Massnahme, sofern diese zumutbar ist, der Mangel zu beseitigen ist. Nach Beseitigung des Mangels kann das Produkt wieder selbstverantwortlich (Art. 3 und 5 PrSG) in Verkehr gebracht werden, da das Produkt produktsicherheitsrechtlich mit dem ursprünglichen Verfügungsobjekt nicht identisch ist (in diesem Sinne auch HANSPETER PFENNINGER, Produktesicherheitsrecht - Rechtsprechungstendenzen, SJZ 2015, S. 273 ff., 278 f.).

11.

Die Beschwerde des WBF erweist sich damit als begründet und ist gutzuheissen. Das Urteil des Bundesverwaltungsgerichts vom 4. Dezember 2015 (C-2330/2014) ist deshalb aufzuheben und die Verfügung der SUVA vom 31. März 2014 zu bestätigen mit der Anpassung, dass der Verfügungspassus "und vergleichbare SWE (gemäss Erwägung 2.7) " zu streichen ist.
Bei diesem Verfahrensausgang trägt die Beschwerdegegnerin die Kosten für das bundesgerichtliche Verfahren 2C_80/2016 (Art. 66 Abs. 1 BGG). Für das Verfahren 2C_79/2016 sind von der SUVA keine Kosten zu erheben (Art. 66 Abs. 4 BGG). Die SUVA hat der Beschwerdegegnerin für das bundesgerichtliche Verfahren 2C_79/2016 indes eine Parteientschädigung zu bezahlen (Art. 68 Abs. 1 und 2 BGG), währenddem diese dem WBF im Verfahren 2C_80/2016 keine zu leisten hat (Art. 68 Abs. 3 BGG). Das Bundesverwaltungsgericht hat über die Kosten und Parteientschädigung des vorangegangenen Verfahrens neu zu befinden (Art. 67 e contrario und Art. 68 Abs. 5 BGG).

Demnach erkennt das Bundesgericht:

1.

Die Verfahren 2C_79/2016 und 2C_80/2016 werden vereinigt.

2.

Auf die Beschwerde 2C_79/2016 wird nicht eingetreten.

3.

Die Beschwerde 2C_80/2016 wird gutgeheissen. Das Urteil des Bundesverwaltungsgerichts vom 4. Dezember 2015 (C-2330/2014) wird aufgehoben. Die Verfügung der SUVA vom 31. März 2014 wird bestätigt mit der Anpassung, dass der Verfügungspassus "und vergleichbare SWE (gemäss Erwägung 2.7) " gestrichen wird.

4.

Die Gerichtskosten von Fr. 2'000.-- werden der A.________ AG auferlegt.

5.

Die SUVA hat der Beschwerdegegnerin für das bundesgerichtliche Verfahren eine Parteientschädigung von Fr. 2'000.-- zu bezahlen.

6.

Die Sache wird zur Neuverlegung der Kosten und der Parteientschädigung des vorangegangenen Verfahrens an das Bundesverwaltungsgericht zurückgewiesen.

7.

Dieses Urteil wird der SUVA, dem Eidgenössischen Departement für Wirtschaft, Bildung und Forschung, der A.________ AG und dem Bundesverwaltungsgericht, Abteilung III, schriftlich mitgeteilt.

Lausanne, 10. April 2017

Im Namen der II. öffentlich-rechtlichen Abteilung
des Schweizerischen Bundesgerichts

Der Präsident: Seiler

Der Gerichtsschreiber: Errass