A.

A.a Die A. AG mit Sitz in U. bezweckt Handel, Konstruktion und Unterhalt von Anbaugeräten und Verschleissteilen zu Erdbewegungs- und Baumaschinen aller Art. Sie bringt u.a. Schnellwechseleinrichtungen des Typs x in Verkehr.

A.b Im Juni 2013 eröffnete die Suva gegenüber diversen Inverkehrbringern von Schnellwechseleinrichtungen (nachfolgend: SWE), darunter auch die A. AG, ein Produktkontrollverfahren gemäss Art. 10 des Bundesgesetzes vom 12. Juni 2009 über die Produktesicherheit (PrSG; SR 930.11) mit der Begründung, es hätten sich zwei tragische Unfälle im Zusammenhang mit SWE für Bagger ereignet. Die Suva forderte die A. AG auf, Angaben und Unterlagen über alle SWE-Typen, die von ihr in Verkehr gebracht würden, einzureichen. Die A. AG reichte am 2. Dezember 2013 Unterlagen zur SWE "x" inkl. Konformitätserklärung ein. Am 13. März 2014 verfügte die Suva wie folgt:

"Der A. AG wird das weitere Inverkehrbringen (gemäss Erwägung 2.8) von Schnellwechseleinrichtungen x und vergleichbare SWE (gemäss Erwägung 2.7) ab dem 01.01.2016 verboten, solange diese nicht der Maschinenrichtlinie 2006/42/EG, insbesondere nicht den Anforderungen gemäss Erwägung 2.1-2.5 entsprechen."

Gleichzeitig entzog sie einer allfälligen Beschwerde die aufschiebende Wirkung. In den Erwägungen 2.1-2.5 führte die Suva aus, gemäss Anhang I der Maschinenrichtlinie sei eine Risikobeurteilung vorgeschrieben. Die Anwendung harmonisierter Normen erleichtere diese Risikobeurteilung, entbinde aber nicht von der Pflicht, eine solche durchzuführen. Die Norm SN EN 474-1 konkretisiere zwar einige Anforderungen der Maschinenrichtlinie für Schnellwechseleinrichtungen, doch seien damit nicht alle Risiken abgedeckt. Trotz Einhaltung der Norm SN EN 474-1 gingen von den SWE relevante Gefährdungen aus, die durch fehlerhafte oder unvollständige Verriegelung der SWE in Kombination mit einem Fehlverhalten des Maschinenführers entstünden. Dadurch könne das Anbaugerät herunterfallen. Da solches Fehlverhalten vernünftigerweise vorhersehbar sei, müssten dagegen geeignete Schutzmassnahmen getroffen werden. In erster Linie müssten die Risiken durch die Konstruktion beseitigt oder minimiert werden; technische Lösungen würden zum Teil bereits erfolgreich in Verkehr gebracht. Es seien bei SWE bereits mehrere u.a. auch tödliche Unfälle eingetreten, die auf den Mangel zurückzuführen seien und mit sehr hoher Wahrscheinlichkeit nicht passiert wären, wenn technische Massnahmen das Herunterfallen der Anbaugeräte verhindert hätten.

B. Am 25. April 2014 erhob die A. AG Beschwerde an das Bundesverwaltungsgericht mit dem Antrag, die Verfügung vom 13. März 2014 sei aufzuheben. Mit Eingabe vom 22. Juli 2014 stellte sie zudem den Antrag, die aufschiebende Wirkung sei wiederherzustellen.

Mit Zwischenverfügung vom 8. Januar 2015 hiess das Bundesverwaltungsgericht das Gesuch der Beschwerdeführerin um Wiederherstellung der aufschiebenden Wirkung gut.

Mit Urteil C-2257/2014 vom 9. Dezember 2015 hiess das Bundesverwaltungsgericht sodann die Beschwerde gut und hob die angefochtene Verfügung auf.

C.

C.a Die Suva erhebt mit Eingabe vom 25. Januar 2016 an das Bundesgericht Beschwerde in öffentlich-rechtlichen Angelegenheiten (Verfahren 2C_75/2016) mit dem Antrag, in Aufhebung des angefochtenen Urteils sei die Verfügung vom 13. März 2014 zu bestätigen mit der Anpassung, dass der Verfügungspassus "und vergleichbare SWE (gemäss Erwägungen 2.7)" gestrichen werde. Eventuell sei das angefochtene Urteil aufzuheben und die Streitsache zu neuer Beurteilung an die Vorinstanz zurückzuweisen.

C.b Das Eidgenössische Departement für Wirtschaft, Bildung und Forschung (WBF) erhebt ebenfalls mit Eingabe vom 25. Januar 2016 an das Bundesgericht Beschwerde in öffentlich-rechtlichen Angelegenheiten (Verfahren 2C_76/2016) mit dem gleichlautenden Antrag.

C.c Das Bundesverwaltungsgericht verzichtet auf Vernehmlassung. Die A. AG beantragt, die Beschwerde des WBF sei abzuweisen, diejenige der Suva sei abzuweisen, soweit darauf einzutreten sei. Die Suva ersucht um Gutheissung (auch) der Beschwerde des WBF, das WBF verzichtet auf Stellungnahme zur Beschwerde der Suva.

D. Das Bundesgericht hat die Angelegenheit am 10. April 2017 öffentlich beraten. Es heisst die Beschwerde 2C_76/2016 gut, hebt das angefochtene Urteil auf und bestätigt grundsätzlich die Verfügung der Suva sowie tritt auf die Beschwerde 2C_75/2016 nicht ein.

5.1 Mit dem PrSG sollen die Sicherheit von Produkten gewährleistet und der grenzüberschreitende freie Warenverkehr erleichtert werden (Art. 1 Abs. 1 PrSG). Produkte dürfen in Verkehr gebracht werden, wenn sie bei normaler oder bei vernünftigerweise vorhersehbarer Verwendung die Sicherheit und die Gesundheit der Verwenderinnen und Verwender und Dritter nicht oder nur geringfügig gefährden (Art. 3 Abs. 1 PrSG). Sie müssen den grundlegenden Sicherheits- und Gesundheitsanforderungen nach Artikel 4 oder, wenn keine solchen Anforderungen festgelegt worden sind, dem Stand des Wissens und der Technik entsprechen (Art. 3 Abs. 2 PrSG). Der Bundesrat legt die grundlegenden Sicherheits- und Gesundheitsanforderungen fest (Art. 4 Abs. 1 PrSG). Er berücksichtigt dabei das entsprechende internationale Recht (Art. 4 Abs. 2 PrSG). Das zuständige Bundesamt bezeichnet im Einvernehmen mit dem Staatssekretariat für Wirtschaft (SECO) die technischen Normen, die geeignet sind, die grundlegenden Sicherheits- und Gesundheitsanforderungen nach Artikel 4 zu konkretisieren (Art. 6 Abs. 1 PrSG). Soweit möglich bezeichnet es international harmonisierte Normen (Art. 6 Abs. 2 PrSG). Es veröffentlicht die technischen Normen mit Titel sowie Fundstelle oder Bezugsquelle im Bundesblatt (Art. 6 Abs. 3 PrSG). Wer ein Produkt in Verkehr bringt, muss nachweisen können, dass es die grundlegenden Sicherheits- und Gesundheitsanforderungen erfüllt. Der Nachweis der Konformität richtet sich nach den Artikeln 17 und 18 des Bundesgesetzes vom 6. Oktober 1995 über die technischen Handelshemmnisse ([THG; SR 946.51]; Art. 5 Abs. 1 PrSG). Wird ein Produkt nach den technischen Normen gemäss Artikel 6 hergestellt, so wird vermutet, dass es die grundlegenden Sicherheits- und Gesundheitsanforderungen erfüllt (Art. 5 Abs. 2 PrSG). Die Vollzugsorgane können Produkte, die in Verkehr gebracht werden, kontrollieren und nötigenfalls Muster erheben (Art. 10 Abs. 1 PrSG). Ergibt die Kontrolle, dass ein Produkt den grundlegenden Sicherheits- und Gesundheitsanforderungen oder dem Stand des Wissens und der Technik nicht entspricht, so verfügt das Vollzugsorgan die geeigneten Massnahmen (Art. 10 Abs. 2 PrSG). Ist es zum Schutz der Sicherheit oder Gesundheit der Verwenderinnen und Verwender oder Dritter erforderlich, so kann das Vollzugsorgan insbesondere das weitere Inverkehrbringen eines Produkts verbieten (Art. 10 Abs. 3 lit. a PrSG).

5.2 Gleichzeitig mit dem Erlass des PrSG und in Koordination damit wurde das THG revidiert (Änderung vom 12. Juni 2009, in Kraft seit 1. Juli 2010 [AS 2010 2617]). Dieses schafft gemäss seinem Art. 1Abs. 1 einheitliche Grundlagen, damit im Regelungsbereich des Bundes technische Handelshemmnisse vermieden, beseitigt oder abgebaut werden. Es enthält insbesondere Vorschriften für das Inverkehrbringen von Produkten, die nach ausländischen technischen Vorschriften hergestellt worden sind (Art. 1 Abs. 2 lit. b^bis THG). Das THG ist anwendbar, soweit nicht andere Bundesgesetze oder internationale Abkommen abweichende oder weitergehende Bestimmungen enthalten. Das Inverkehrbringen von Produkten, die nach ausländischen technischen Vorschriften hergestellt worden sind, richtet sich nach diesem Gesetz (Art. 2 Abs. 2 THG). Technische Vorschriften werden so ausgestaltet, dass sie sich nicht als technische Handelshemmnisse auswirken (Art. 4 Abs. 1 THG). Sie werden zu diesem Zweck auf die technischen Vorschriften der wichtigsten Handelspartner der Schweiz abgestimmt (Art. 4 Abs. 2 Satz 1 THG). Gemäss Art. 4 Abs. 5 THG sind technische Vorschriften über Produkteanforderungen - inhaltlich übereinstimmend mit Art. 4-6 PrSG - nach folgenden Grundsätzen auszugestalten: Sie legen nur die grundlegenden Anforderungen fest; sie bestimmen insbesondere die zu erreichenden Ziele (lit. a); das zuständige Bundesamt bezeichnet im Einvernehmen mit dem Staatssekretariat für Wirtschaft (SECO) die technischen Normen, die geeignet sind, die grundlegenden Anforderungen zu konkretisieren; soweit möglich bezeichnet es international harmonisierte Normen; es veröffentlicht die bezeichneten technischen Normen mit Titel sowie Fundstelle oder Bezugsquelle im Bundesblatt (lit. b); wird das Produkt nach bezeichneten Normen hergestellt, so wird vermutet, dass es den grundlegenden Anforderungen entspricht (lit. c).

Die für die Marktüberwachung zuständigen Vollzugsorgane können die erforderlichen Nachweise und Informationen verlangen, Muster erheben oder anfordern, Prüfungen veranlassen und während der üblichen Arbeitszeit die Betriebs- und Geschäftsräume auskunftspflichtiger Personen betreten und besichtigen sowie die einschlägigen Unterlagen einsehen (Art. 19 Abs. 1 THG). Ist es zum Schutz überwiegender öffentlicher Interessen nach Artikel 4 Absatz 4 Buchstaben a-e erforderlich, so können sie die geeigneten Massnahmen treffen, wenn die verlangten Nachweise, Informationen oder Muster nicht innert angemessener Frist zur Verfügung gestellt werden oder ein Produkt den technischen Vorschriften nicht entspricht (Art. 19 Abs. 3 THG). Sie können insbesondere das weitere Inverkehrbringen eines Produkts verbieten, die Warnung vor den Gefahren eines Produkts, seine Rücknahme oder seinen Rückruf anordnen und nötigenfalls selbst vollziehen, die Ausfuhr eines Produkts, dessen weiteres Inverkehrbringen nach Buchstabe a verboten worden ist, verbieten oder ein Produkt, von dem eine unmittelbare und ernste Gefahr ausgeht, einziehen und vernichten oder unbrauchbar machen (Art. 19 Abs. 4 THG). Sie dürfen keine Massnahmen anordnen, die eine nachträgliche bauliche Änderung rechtmässig in Verkehr gebrachter Produkte erfordern würden (Art. 19 Abs. 5 THG).

5.3 PrSG und THG sind eng aufeinander abgestimmt: In der Botschaft vom 25. Juni 2008 zur Teilrevision des Bundesgesetzes über die technischen Handelshemmnisse (BBl 2008 7275, 7335 Ziff. 2.6.5; nachfolgend: Botschaft Rev. THG) wird dazu ausgeführt (und mit geringen redaktionellen Abweichungen gleich in der Botschaft vom 25. Juni 2008 zum Produktesicherheitsgesetz [Totalrevision des Bundesgesetzes über die Sicherheit von technischen Einrichtungen und Geräten] [Botschaft PrSG], BBl 2008 7407, 7426 Ziff. 1.3.4):

"Beide regeln die Voraussetzungen für das Inverkehrbringen von Produkten, beide enthalten eine identische Umschreibung des Begriffs des Inverkehrbringens und die Geltungsbereiche beider Gesetze sind insoweit aufeinander abgestimmt.

Hingegen grenzen sich die beiden Gesetze durch einen unterschiedlichen Regelungszweck voneinander ab. So bezweckt das THG durch die Schaffung einheitlicher Grundlagen, dass unnötige technische Handelshemmnisse in allen Phasen und auf allen Stufen der Vorbereitung, des Erlasses und der Anwendung von Produktevorschriften vermieden werden. Das PrSG hingegen bezweckt, die Sicherheit von Produkten zu gewährleisten. Die beiden Gesetze stellen in diesem Sinn zwei komplementäre Rahmenerlasse dar; diese Komplementarität gilt auch für die beiden Revisionsvorlagen. Während im Rahmen der THG-Revision mit der Verankerung des 'Cassis-de-Dijon-Prinzips' der schweizerische Markt - unter gewissen Voraussetzungen - auch für Produkte geöffnet wird, die den schweizerischen technischen Vorschriften nicht vollumfänglich entsprechen, werden mit dem Ausbau des STEG zu einem umfassenden Produktesicherheitsgesetz das Schutzniveau angehoben und die Befugnisse der Behörden zum Ergreifen von Massnahmen erweitert."

Die beiden Gesetze können daher nicht unabhängig voneinander angewendet werden (THEODOR BÜHLER, Die Produktsicherheit als Bestandteil der schweizerischen Rechtsordnung, 2012, S. 14).

5.4.1 Mit der Totalrevision des PrSG wurde zugleich das Kapitel "Inverkehrbringen von nach ausländischen technischen Vorschriften hergestellten Produkten" (Art. 16a ff.) in das THG aufgenommen. Es stellt sich deshalb die Frage, ob Art. 16a THG neben dem Produktesicherheitsrecht überhaupt anwendbar ist. Gemäss Art. 16a Abs. 1 THG dürfen Produkte in Verkehr gebracht werden, wenn sie den technischen Vorschriften der Europäischen Gemeinschaft (EG) und, bei unvollständiger oder fehlender Harmonisierung in der EG, den technischen Vorschriften eines Mitgliedstaats der EG oder des Europäischen Wirtschaftsraums (EWR) entsprechen (lit. a) und im EG- oder EWR-Mitgliedstaat nach Buchstabe a rechtmässig in Verkehr sind (lit. b). Für die Marktüberwachung eines Produkts, das nach Artikel 16a Absatz 1 in Verkehr gebracht wurde, ist nachzuweisen, dass es den technischen Vorschriften nach Artikel 16a Absatz 1 Buchstabe a entspricht, und glaubhaft zu machen, dass es im betreffenden EG- oder EWR-Mitgliedstaat rechtmässig in Verkehr ist (Art. 20 Abs. 1 THG). Ergibt die Kontrolle, dass die Nachweispflichten nach Absatz 1 oder 2 nicht erfüllt sind oder das Produkt ein Risiko für überwiegende öffentliche Interessen im Sinne von Artikel 4 Absatz 4 Buchstaben a-e darstellt, so trifft das Vollzugsorgan die geeigneten Massnahmen nach Artikel 19 (Art. 20 Abs. 4 THG).

5.4.2 Den Abbau von technischen Handelshemmnissen hat der Bundesrat bis vor der Änderung des THG im Jahre 2010 auf zwei Wegen verfolgt: einerseits mittels einer autonomen Harmonisierung, wonach der schweizerische Gesetzgeber seine Produktegesetzgebung an die in der EG bzw. heute EU geltende anpasst und dadurch Inkompatibilitäten vermeidet, andererseits durch Abkommen mit der Europäischen Union wie u.a. das Abkommen vom 21. Juni 1999 zwischen der Schweizerischen Eidgenossenschaft und der Europäischen Gemeinschaft über die gegenseitige Anerkennung von Konformitätsbewertungen (Mutual Recognition Agreement [SR 0.946. 526.81; nachfolgend: MRA]; vgl. Botschaft Rev. THG, BBl 2008 7275, 7284 bzw. 7285 Ziff. 1.1.2; zum Ganzen auch COTTIER/HERREN, Das Äquivalenzprinzip im schweizerischen Aussenwirtschaftsrecht: von Cassis de Dijon zu Cassis de Berne, in: Schweizerisches Jahrbuch für Europarecht 2009/2010, Epiney/Gammenthaler [Hrsg.], 2010, S. 249 ff., 260 f.). Mit Art. 16a THG wurde ein zusätzliches Instrument zur Beseitigung technischer Handelshemmnisse geschaffen (vgl. Botschaft Rev. THG, BBl 2008 7275, 7289 Ziff. 1.2.1). Dieses soll indes keinen Ersatz für die bestehenden Regelungen, sondern lediglich eine Ergänzung darstellen (vgl. Botschaft Rev. THG, BBl 2008 7275, 7290 und 7291 Ziff. 1.2.2). Das Inverkehrbringen von Produkten erfolgt auch nach der Teilrevision des THG nämlich in erster Linie nach den schweizerischen Produktevorschriften, welche in den produktsektorspezifischen Bundesgesetzen enthalten sind, und in zweiter Linie durch staatsvertragliche Regelungen (vgl. Botschaft Rev. THG, BBl 2008 7275, 7317 Ziff. 2.4). Die Ergänzung zu diesen beiden traditionellen Marktzugangskanälen durch Art. 16a THG soll daher "für Produkte, für welche die schweizerischen technischen Vorschriften mit denjenigen der EG [bzw. heute EU] harmonisiert sind, keine Anwendung finden" (Botschaft Rev. THG, BBl 2008 7275, 7317). Der Bundesrat hat diesbezüglich keine ausdrückliche Vorrangvorschrift vorgeschlagen, was er allerdings aufgrund des Systems des bereits oben dargestellten Zusammenspiels zwischen THG und den harmonisierten Produktesicherheitsvorschriften und dem Zweck der genannten Vorschriften zu Recht auch nicht musste: Nach Art. 4 Abs. 1 und 2 THG sind technische Vorschriften so auszugestalten, dass sie sich nicht als technische Handelshemmnisse auswirken. Im Sinne dieses Artikels hat der Gesetzgeber unzählige schweizerische Vorschriften, wie im vorliegenden Fall in Bezug auf Maschinen, mit den Vorschriften der EU harmonisiert. Art. 16a Abs. 1 THG ist deshalb für diesen Bereich gar nicht notwendig (so auch COTTIER/HERREN, a.a.O., S. 269 Fn. 94). Es kann nämlich davon ausgegangen werden, dass ein aufmerksamer Rechtssetzer für die Verwirklichung seines Ziels nicht doppelte Normen erlässt, welche zudem zu einer klassischen Normkollision (BGE 141 II 66 E. 2.4.1 S. 73 f. [Normen regeln für denselben Sachverhalt sich ausschliessende Rechtsfolgen]) führen können. Würde sodann Art. 16a Abs. 1 THG immer zur Anwendung kommen, würde das MRA aus Sicht der Schweiz praktisch unterlaufen (siehe dazu auch COTTIER/HERREN, a.a.O., S. 263). Auch Regelungen über die Produktesicherheit nur inländischer Produkte gestützt auf das PrSGwären wegen den Massnahmen zur Verhinderung einer Diskriminierung inländischer Hersteller (Art. 16b THG) vielfach obsolet.

5.4.3 Zusammenfassend lässt sich demgemäss festhalten, dass Art. 16a Abs. 1 THG nur dann zur Anwendung kommt, wenn die Schweiz die Produktestandards der EU nicht übernommen hat und keine Ausnahmen i.S. von Art. 16a Abs. 2 THG vorliegen. Der Anwendungsbereich von Art. 16a Abs. 1 THG beschränkt sich somit auf die zwischen der Schweiz und dem EU/EWR-Binnenmarkt nicht-harmonisierten Bereiche (vgl. DAVID HERREN, Das Cassis de Dijon-Prinzip. Eine rechtsvergleichende Studie zur Äquivalenz von Rechtsnormen im WTO-Recht, im EU-Recht und im schweizerischen Recht, 2014, S. 254 und Fn. 1261; siehe auch COTTIER/HERREN, a.a.O., S. 269). Im vorliegenden Fall sind die Normen zwischen der Schweiz und der EU harmonisiert (siehe unten E. 5.5 und 5.7). Art. 16a THG findet deshalb keine Anwendung.

5.5 Für Maschinen im Sinne der Richtlinie 2006/42/EG des Europäischen Parlaments und des Rates vom 17. Mai 2006 über Maschinen und zur Änderung der Richtlinie 95/16/EG (Neufassung), (ABl. L 157 vom 9. Juni 2006, S. 24 [nachfolgend: EU-Maschinenrichtlinie, MRL]; zuletzt geändert durch Richtlinie 2014/33/EU, ABl. L 96 vom 29. März 2014, S. 251) hat der Bundesrat gestützt u.a. auf Art. 4 PrSG und in Ausführung des THG die Verordnung vom 2. April 2008 über die Sicherheit von Maschinen (Maschinenverordnung, MaschV; SR 819.14) erlassen. Gemäss Art. 2 Abs. 1 MaschV dürfen Maschinen nur in Verkehr gebracht werden, wenn sie bei ordnungsgemässer Installation und Wartung und bei bestimmungsgemässer oder vernünftigerweise vorhersehbarer Verwendung die Sicherheit und die Gesundheit von Personen und gegebenenfalls von Haustieren und Sachen sowie, sofern für diese Maschinen in der EU-Maschinenrichtlinie spezifische Umweltvorschriften bestehen, die Umwelt nicht gefährden (lit. a) und die Anforderungen nach den folgenden Bestimmungen der EU-Maschinenrichtlinie erfüllt sind: Artikel 5 Absatz 1 Buchstaben a-e sowie Absätze 2 und 3 und Artikel 12 und 13 (lit. b). Das Staatssekretariat für Wirtschaft (SECO) bezeichnet die technischen Normen, die geeignet sind, die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen nach Anhang I MRL zu konkretisieren (Art. 3 MaschV).

5.6.1 Sowohl das PrSG als auch das THG, insbesondere in seiner revidierten Form, bezwecken eine Harmonisierung der schweizerischen Produktevorschriften mit denjenigen der EU. Dabei hat das THG vor allem die Beseitigung von Handelshemmnissen, das PrSG dagegen vor allem die Sicherheit von Produkten im Blick (Botschaft Rev. THG, BBl 2008 7275, 7289 ff., 7329 f.; Botschaft PrSG, BBl 2008 7407, 7408, 7420 ff., 7427 ff.; KLETT/BIELMANN, Produktesicherheit und Warenverkehr - aktuelle Entwicklungen, Sicherheit und Recht 2014 S. 79 ff., 79). Damit soll insbesondere - wie bereits im früheren STEG - der sog. New Approach der EU übernommen werden (Botschaft Rev. THG, BBl 2008 7275, 7286 f., 7310; Botschaft PrSG, BBl 2008 7407, 7413 f., 7421, 7432, 7439; zum New Approach vgl. Europäische Kommission, Leitfaden für die Umsetzung der Produktvorschriften der EU 2016 ["Blue Guide"], ABl. C 272 vom 26. Juli 2016, S. 1 ff.; BÜHLER/TOBLER, Produktsicherheit in der EU und in der Schweiz, 2011, S. 45 ff.; HANS-JOACHIM HESS, Produktesicherheitsgesetz [nachfolgend: Handkommentar], 2010,N. 15 ff. zu Art. 4 PrSG; ders., Prinzipien und Rechtswirkungen der technischen Normung, in: Produktsicherheit und Produkthaftung - Die Schonzeit für Hersteller, Importeur und Händler ist vorbei! [nachfolgend: Prinzipien], Fellmann/Furrer [Hrsg.], 2012, S. 1 ff.,5 ff.; PETER HETTICH, Kooperative Risikovorsorge, 2014, S. 277 ff.; HANSPETER PFENNINGER, Das neue Bundesgesetz über die Produktesicherheit - Geltungsbereich und EU-Kompatibilität als Herausforderung, in: Peters Dreiblatt: Föderalismus, Grundrechte, Verwaltung, Festschrift für Peter Hänni zum 60. Geburtstag [nachfolgend: FS Hänni], 2010, S. 415 ff., 417 ff.; HANSJÖRG SEILER, Recht und technische Risiken, 1997, S. 64 ff., 189 f.; THOMAS WILRICH, Das neue Produktsicherheitsgesetz [ProdSG], 2012, S. 7 ff.). Nach diesem Ansatz enthalten die gemeinschaftsrechtlichen Vorschriften nur die grundlegenden Anforderungen; deren Einhaltung liegt grundsätzlich in der Eigenverantwortung des Herstellers oder Importeurs, was mit verschiedenen Konformitätsbewertungsverfahren sicherzustellen ist (BÜHLER/TOBLER, a.a.O., S. 95 ff.; HESS, Prinzipien, a.a.O., S. 9 ff.; WILRICH, a.a.O., S. 102 f.). Für die Konkretisierung der materiellen Anforderungen können technische Normen herangezogen werden, welche unter bestimmten Voraussetzungen vermutungsweise den anzuwendenden Sicherheitsmassstab festlegen, namentlich die durch die europäischen Normenorganisationen erlassenen und harmonisierten Normen (WILRICH, a.a.O., S. 97 f., 142, 144 f.).

5.6.2 Für Maschinen ist dieser Ansatz in der MRL festgelegt: Nach Art. 5 Abs. 1 MRL muss der Hersteller oder sein Bevollmächtigter u.a. sicherstellen, dass die Maschine die in Anhang I aufgeführten, für sie geltenden grundlegenden Sicherheits- und Gesundheitsanforderungen erfüllt (lit. a), und die zutreffenden Konformitätsbewertungsverfahren gemäss Art. 12 durchführen (lit. d). Zu den in Anhang I aufgeführten Anforderungen gehört auch die Pflicht, eine Risikobeurteilung vorzunehmen und die Maschine dann unter Berücksichtigung der Ergebnisse der Risikobeurteilung zu konstruieren und zu bauen (Allgemeine Grundsätze Ziff. 1 Anhang I MRL). Ziff. 1.1.2 Anhang I MRL enthält Grundsätze für die Integration der Sicherheit. Gemäss lit. b muss der Hersteller oder sein Bevollmächtigter bei der Wahl der angemessenen Lösung folgende Grundsätze anwenden, und zwar in der angegebenen Reihenfolge: Beseitigung oder Minimierung der Risiken so weit wie möglich (Integration der Sicherheit in Konstruktion und Bau der Maschine [erstes Lemma]); Ergreifen der notwendigen Schutzmassnahmen gegen Risiken, die sich nicht beseitigen lassen (zweites Lemma); Unterrichtung der Benutzer über die Restrisiken aufgrund der nicht vollständigen Wirksamkeit der getroffenen Schutzmassnahmen; Hinweis auf eine eventuell erforderliche spezielle Ausbildung oder Einarbeitung und persönliche Schutzausrüstung (drittes Lemma).

5.6.3 Diese Grundsätze legen allerdings nicht fest, wie hoch das erforderliche Sicherheitsniveau ist, woraus eine gewisse Rechtsunsicherheit entsteht. Ist jedoch eine Maschine nach einer harmonisierten Norm hergestellt worden, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht worden sind, so wird davon ausgegangen, dass sie den von dieser harmonisierten Norm erfassten grundlegenden Sicherheits- und Gesundheitsanforderungen entspricht (Art. 7 Abs. 2 MRL). Diese Konformitätsvermutung gibt dem Hersteller eine gewisse Rechtssicherheit, da er keinen weiteren Nachweis der Konformität mit den grundlegenden Sicherheits- und Gesundheitsanforderungen erbringen muss, die durch diese Norm abgedeckt werden (vgl. § 110 Abs. 8 des Leitfadens für die Anwendung der Maschinenrichtlinie 2006/42/EG [nachfolgend: Leitfaden MRL], 2. Aufl. 2010; WILRICH, a.a.O., S. 145 ff.); allerdings entbinden die harmonisierten Normen den Maschinenhersteller nicht gänzlich davon, eine Risikobeurteilung durchzuführen (Leitfaden MRL, a.a.O., § 110 Abs. 10, 159 Abs. 2; WILRICH, a.a.O., Rz. 371; hinten E. 5.6.5). Sodann sind auch die Verwaltungen verpflichtet, bei den nach harmonisierten bezeichneten Normen hergestellten Produkten die Übereinstimmung mit den grundlegenden Anforderungen anzunehmen (WILRICH, a.a.O., S. 9, 147 f.). Dies gilt für alle EU-Mitgliedstaaten (Art. 7 Abs. 1 MRL). Ist ein Mitgliedstaat der Meinung, dass eine harmonisierte Norm die grundlegenden Anforderungen nicht oder nicht vollständig erfüllt, so kann er die Norm nach Art. 10 MRL bei der Kommission anfechten; nach Prüfung entscheidet die Kommission, die Fundstelle zu veröffentlichen, nicht zu veröffentlichen, mit Einschränkungen zu veröffentlichen, zu belassen, mit Einschränkungen zu belassen oder zu streichen. Im Umfang der Streichung oder Einschränkung entfällt die Konformitätsvermutung. Der Mitgliedstaat kann auch das Schutzklauselverfahren nach Art. 11 MRL einleiten, wobei er die Kommission und die übrigen Mitgliedstaaten über eine solche Massnahme unterrichten muss; die Kommission prüft, ob die Massnahme aufgrund der tatsächlichen Risiken gerechtfertigt ist; wenn nicht, muss der Mitgliedstaat die Massnahme beenden (vgl. Urteil des EuG vom 15. Juli 2015 T-337/13 CSF Srl, Randnr. 46, 55 ff.).

5.6.4 Aus den dargelegten Grundlagen ergibt sich, dass der Inverkehrbringer, der die bezeichneten Normen einhält, davon ausgehen kann, dass die Anforderungen von Anhang I MRL grundsätzlich eingehalten sind mit Einschluss der in diesem Anhang enthaltenen Pflicht, eine Risikobeurteilung vorzunehmen. Mit der harmonisierten und bezeichneten Norm wird festgelegt, wie hoch das akzeptable Risiko ist. Müsste jeder einzelne Hersteller selber mit einer Risikobeurteilung nachweisen, dass bei Einhaltung der Norm die grundlegenden Anforderungen erfüllt sind, wäre das ganze System der harmonisierten und bezeichneten Normen ihres Sinns und Zwecks beraubt.

5.6.5 Die Konformitätsvermutung erstreckt sich jedoch nur auf diejenigen Anforderungen, welche von den jeweiligen Normen erfasst werden (Art. 7 Abs. 2 MRL; WILRICH, a.a.O., S. 144 f.). Insbesondere bei älteren Normen kann es vorkommen, dass sie nicht alle sicherheitsrelevanten Aspekte umfassen (HESS, Handkommentar, a.a.O., N. 18 zu Art. 5 PrSG). Die Anwendung harmonisierter Normen entbindet den Hersteller somit nicht völlig von der Pflicht, eine Risikobeurteilung durchzuführen (Leitfaden MRL, a.a.O., § 110 Abs. 10 und § 159 Abs. 2). Wenn von der betreffenden Maschine Gefährdungen ausgehen, die nicht durch die harmonisierte Norm abgedeckt werden, ist eine umfassende Risikobeurteilung für diese Gefährdungen notwendig, und es müssen geeignete Schutzmassnahmen ergriffen werden (Leitfaden MRL, a.a.O., § 159).

5.7 Dieser innerhalb der EU geltenden Konformitätsvermutung entspricht auch die Regelung von Art. 5 Abs. 2 PrSG bzw. Art. 4 Abs. 5 lit. c THG (ANDREAS FURRER, Produktsicherheit, Produkthaftung und technische Normung in der Schweiz, in: Produktsicherheit und Produkthaftung - Neue Herausforderungen für schweizerische Unternehmen, Fellmann/Furrer [Hrsg.], 2011, S. 1 ff., 13 f.; PFENNINGER, FS Hänni, a.a.O., S. 416 f.): Nach Art. 3 Abs. 1 PrSG dürfen Produkte "nicht oder nur geringfügig gefährden". Ein Nullrisiko ist bei Produkten wie in anderen Bereichen nicht verlangt (WILRICH, a.a.O., S. 133 ff.; vgl. BGE 139 II 185 E. 11.3-11.5 S. 209 f., BGE 139 II 212 bez. Kernkraftwerke; Urteil 2C_905/2010 vom 22. März 2011 E. 3.2.1 bez. Seilbahnen); vielmehr geht es darum, die akzeptablen Risiken bzw. das erforderliche Sicherheitsniveau festzulegen (Botschaft PrSG, BBl 2008 7407, 7436 zu Art. 3 Abs. 1; ERDEM BÜYÜKSAGIS, La relativité de la sécurité du produit: différentes circonstances, différents défauts, différents régimes de responsabilité, ZSR 2010 I S. 29 ff., 34; HESS, Handkommentar, a.a.O., N. 7-9 zu Art. 3 PrSG; ders., Sicherheit beim Inverkehrbringen nach Art. 3 ff. PrSG: Pflichten des Herstellers [nachfolgend: Sicherheit], in: Produktsicherheit und Produkthaftung - Neue Herausforderungen für schweizerische Unternehmen, Fellmann/Furrer [Hrsg.], 2011, S. 33 ff., 36 f.; THEODOR BÜHLER, Sicherheit von Non-Food-Produkten in der neuesten schweizerischen Gesetzgebung, 2015, S. 49; BÜHLER/TOBLER, a.a.O., S. 130 f., 385 f.). Das gilt auch für Maschinen: Auch hier sind Beseitigung oder Minimierung der Risiken nur "so weit wie möglich" und Schutzmassnahmen nur soweit "notwendig" erforderlich, womit ein gewisses Restrisiko verbleibt (Art. 2 Abs. 1 lit. b MaschV i.V.m. Art. 5 Abs. 1 lit. a und Anhang I Ziff. 1.1.2 lit. b MRL). Solange aber in keiner Rechtsnorm festgelegt ist, wie hoch das akzeptable Risiko bzw. das erforderliche Sicherheitsniveau ist, steht damit nicht fest, wo die Grenze zwischen zulässigen und unzulässigen Risiken liegt (vgl. Urteil 2C_905/2010 vom 22. März 2011 E. 3.2.1; BÜYÜKSAGIS, a.a.O., S. 34). Diese Unsicherheit wird wesentlich reduziert durch die bezeichneten technischen Normen; diese sind in Bezug auf Maschinen geeignet, die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen nach Anhang I MRL zu konkretisieren (Art. 3 MaschV, entsprechend Art. 7 Abs. 2 MRL). Nach dem gesetzlichen Konzept (Art. 5 Abs. 2 i.V.m. Art. 6 Abs. 1 PrSG) legen die technischen Normen (implizit) fest, welche Sicherheit vermutungsweise als "ausreichend" zu qualifizieren ist (vgl. zum Seilbahnrecht Urteil 2C_905/2010 vom 22. März 2011 E. 3.2.1). Dank dieser Konformitätsvermutung kann der Inverkehrbringer davon ausgehen, dass seine Produkte den Anforderungen genügen, wenn sie den bezeichneten Normen entsprechen (BÜYÜKSAGIS, a.a.O., S. 30 f.; HESS, Handkommentar, a.a.O., N. 16 zu Art. 5 PrSG; vgl. auch für das Haftpflichtrecht BGE 133 III 81 E. 3.1 in fine S. 85); es erfolgt damit eine Umkehr der Beweislast: Die intervenierende Marktaufsichtsbehörde trägt die Beweislast dafür, dass das Produkt nicht den Anforderungen entspricht (HESS, Handkommentar, a.a.O., N. 16 f. zu Art. 5 PrSG; HESS, Sicherheit, a.a.O., S. 34 ff., 64 f.). Die Normen sind allerdings nicht rechtsverbindlich; der Inverkehrbringer kann die Produkte anders herstellen; er muss dann aber selber nachweisen, dass das Produkt den Anforderungen entspricht (Art. 5 Abs. 3 PrSG; FURRER, a.a.O., S. 15; HESS, Handkommentar, a.a.O., N. 47 zu Art. 4 und N. 20 f. zu Art. 5 PrSG).

5.8 Aus dieser Regelung ergibt sich folgendes Prüfprogramm : In einem ersten Schritt ist zu prüfen, ob das streitbetroffene Produkt die in einer bezeichneten Norm enthaltenen Anforderungen einhält (unten E. 6). In einem zweiten Schritt ist zu prüfen, ob die Risiken, welche die Suva mit ihrer Verfügung avisiert, von der Norm erfasst sind (unten E. 7); ist dies zu verneinen, muss die Beschwerdegegnerin die Einhaltung der Sicherheitsanforderungen nachweisen; ist es zu bejahen, greift die Konformitätsvermutung gemäss Art. 5 Abs. 2 PrSG. In diesem Fall ist in einem dritten Schritt zu prüfen, ob diese Vermutung widerlegt ist (unten E. 8). Da das streitbetroffene Produkt in der EU nach EU-Vorschriften hergestellt worden ist, ist in einem vierten Schritt zu fragen, welchen Einfluss das MRA auf den nationalen Entscheid hat, wenn die Vermutung widerlegt ist (unten E. 9). Schliesslich ist in einem fünften Schritt zu entscheiden, welcher Grad von Konkretheit positiver behördlicher Anordnungen zulässig ist (unten E. 10).

6.1 Vorinstanz und Beschwerdeführer gehen davon aus, dass es sich beim streitbetroffenen Produkt um eine Maschine im Sinne der MRL i.V.m. der MaschV handelt, und zwar um eine Erdbaumaschine. Für Erdbaumaschinen hat das SECO die europäisch harmonisierte Norm EN 474-1 als technische Norm bezeichnet, die geeignet ist, die grundlegenden Sicherheits- und Gesundheitsanforderungen für Maschinen im Sinne von Art. 3 MaschV zu konkretisieren. Es gibt von dieser Norm verschiedene Fassungen: Gemäss BBl 2009 6559 ist die Norm EN 474-1+A1 als europäisch harmonisierte Norm bezeichnet, wobei auf die Fundstelle im ABl. C 214 vom 8. September 2009 S. 1 verwiesen wird. Dort wird auf die Fassung EN 474-1:2006+A1:2009 verwiesen. In BBl 2013 9756 werden sodann die EN 474-1+A3 sowie EN 474-1+A4 bezeichnet mit den Fundstellen ABl. C 348 vom 28. November 2013 S. 5. Dort wird auf EN 474-1:2006+A3:2013 verwiesen mit dem Vermerk, dass ab 28. November 2013 für die Fassung EN 474:2006+A1:2009 die Konformitätsvermutung nicht mehr gilt, sowie auf die EN 474-1:2006+A4:2013.

6.2 Die Norm SN EN 474-1 enthält in allen genannten Fassungen folgende Ziffer:

"5.21 Arbeitsausrüstungen und Schnellwechseleinrichtungen

Arbeitsausrüstungen und Schnellwechseleinrichtungen müssen den Anforderungen von Anhang B entsprechen."

Anhang B verlangt unter B.2 "Schnellwechseleinrichtungen" in der Fassung +A1:

"B.2.1 Verriegelung

Das Verriegelungssystem der Schnellwechseleinrichtung muss folgende Anforderungen erfüllen:

- das Verriegelungssystem der Schnellwechseleinrichtung muss mit einer formschlüssigen Verbindung ausgerüstet sein und die Verriegelungsstellung unter allen vorgesehenen/üblichen Betriebsbedingungen halten;

- es muss möglich sein, die Verriegelungsstellung der Schnellwechseleinrichtung vom Maschinenführerplatz aus oder von der Position aus, von der das Verriegelungsstellteil betätigt wird, zu überprüfen;

- es darf nicht möglich sein, dass sich die Verriegelung bei einer Funktionsstörung oder beim Verlust der Verriegelungskräfte löst.

Keilförmige Verriegelungssysteme müssen ständig mit Kraft (z.B. ständiger Druckbeaufschlagung mit offenem Rückfluss, hydraulischem Druckspeicher, Federspeicher) beaufschlagt werden, um die Arbeitsausrüstung in Verriegelungsposition zu halten."

In den Fassungen +A3 und +A4 trägt die Ziff B.2.1 den Titel "Verriegelung und Verschliessen". Ziff. B.2.1.1 lautet:

"B.2.1.1 Verriegelung

Die Schnellwechseleinrichtung muss über ein Verriegelungssystem verfügen, das folgende Anforderungen erfüllt:

a) Es muss aus einer formschlüssigen Verbindung oder einer keilförmigen Verbindung oder einer kraftschlüssigen Verbindung bestehen. Eine reibschlüssige Verbindung ist nicht zulässig.

ANMERKUNG Eine formschlüssige Verbindung ist ein System von mindestens zwei Bauteilen, die so ineinandergreifen, dass die durch die Arbeitsbewegung erzeugte Kraft rechtwinklig zur Verriegelungsbewegung steht und die Arbeitseinrichtung in ihrer normalen Arbeitsposition hält. Dadurch wird durch diese Kraft keine Entriegelung verursacht.

b) es muss vom Maschinenführerplatz oder von der Position aus, von der die Schnellwechseleinrichtung betätigt wird, möglich sein, die vollständige Verriegelung zu überprüfen.

c) es darf nicht möglich sein, dass sich die Arbeitsausrüstung durch eine Fehlfunktion oder durch Nachlassen der Verriegelungskraft(-kräfte) löst. Prüfverfahren: Funktionsprüfung; die Arbeitsausrüstung darf sich in einer Prüfphase von 12 h und bei ausgeschalteter Maschine nicht von der Schnellwechseleinrichtung lösen."

Weiter enthält die Norm eine Ziff. B.2.1.2 "Verschliessen", wonach die Schnellwechseleinrichtung zusätzlich zum Verriegelungssystem ein Verschlusssystem haben muss, das bestimmte Anforderungen erfüllt.

Anhang B.2.4 lautet in allen drei Versionen übereinstimmend:

"Der Hersteller der Schnellwechseleinrichtung muss Anweisungen zu Montage, Verriegelung, Prüfverfahren und zum Einfluss auf die zulässige Tragfähigkeit (Traglast)/zulässige Hubfähigkeit (Traglast) bereitstellen. Das Kontrollverfahren für die Verriegelung muss im Detail, einschliesslich der Sicherheitsvorkehren im Fall von vorgeschriebenen Kontrollen während des Betriebes, beschrieben sein."

6.3 Das Bundesverwaltungsgericht hat festgestellt, es sei unbestritten, dass das streitbetroffene Produkt den Anforderungen der Norm SN EN 474-1 entspreche. Es präzisiert allerdings nicht näher, welche Fassung damit gemeint ist. In den Akten befindet sich eine EG-Konformitätserklärung, wonach die Maschine der Norm DIN EN 474-1:2010-02 entspreche. Die Suva ist in ihrer Verfügung davon ausgegangen, von der SWE gingen "trotz Einhaltung der SN EN 474-1:2006+A1" relevante Gefährdungen aus. Damit wird jedenfalls nicht auf die Fassung +A3 und +A4 von 2013 verwiesen. Das ist insofern von Bedeutung, als - wie vorne in E. 6.2 dargelegt - diese neuen Fassungen in Anhang B zusätzliche Anforderungen an Schnellwechseleinrichtungen enthalten.

6.4 Das WBF rügt nicht, die Feststellung, dass das Produkt den Anforderungen der Norm SN EN 474-1 entspreche, sei offensichtlich unrichtig. Es weist allerdings darauf hin, dass sich die Beschwerdegegnerin in ihrer Betriebsanleitung nicht auf die neueren Fassungen bezogen hat, führt aber aus, die Anpassungen +A3 und +A4 seien für die vorliegend zur Diskussion stehenden Fragen nicht relevant, weil die Norm in Bezug auf die korrekte Aufnahme eines Werkzeugs lückenhaft bleibe. In der Tat wird der Maschine der Beschwerdegegnerin einzig vorgeworfen, dass sie im Rahmen der Sequenz Aufnahme/Ankuppelung des Anbaugeräts Gefährdungen verursachen könne, weil das System keine verlässliche Überprüfung der Verriegelung ermögliche (siehe unten E. 7.1.1 und 7.1.3). Die in den neuen Fassungen +A3 und +A4 enthaltene neue Ziff. B.2.1.2 betrifft jedoch nicht den Verriegelungsvorgang. Die Anforderungen an die Verriegelung lauten - soweit hier von Interesse - in Ziff. B.2.1.1 der neuen Fassung inhaltlich gleich wie diejenigen in Ziff. B.2.1 der Fassung +A1. Auch die Ziff. B.2.4 stimmt in allen Fassungen überein. Daher ist den Vorbringen der Beteiligten zu folgen, wonach die Änderungen der Norm für den Ausgang des vorliegenden Verfahrens nicht relevant sind. Unerheblich ist daher auch, dass die Konformitätsvermutung der Fassung +A1 nicht mehr gilt.

6.5 Als Zwischenfolgerung ist festzuhalten, dass die streitbetroffene Maschine die Norm SN EN 474-1 einhält. Damit steht auch fest, dass es beim streitbetroffenen Produkt möglich ist, die Verriegelungsstellung vom Maschinenführerplatz aus zu überprüfen (Anhang B Ziff. B.2.1 zweiter Spiegelstrich in der Fassung +A1, bzw. Ziff. B.2.1.1 lit. b in den Fassungen +A3 und +A4; vorne E. 6.2). Umstritten ist, ob dies den gesetzlichen Anforderungen genügt oder ob - wie Suva und WBF annehmen - eine technische Lösung die Situation verhindern muss, dass ein Maschinenführer sich darüber im Irrtum befinde, dass das Anbaugerät korrekt angekuppelt sei, um so ein Herunterfallen eines unkorrekt angekuppelten Geräts zu vermeiden.

6.6 Das WBF bringt vor, der Hersteller bzw. Inverkehrbringer müsse in jedem Fall eine Risikobeurteilung gemäss Anhang I MRL vornehmen, auch wenn er eine harmonisierte Norm anwende. Die Anwendung einer Norm sei daher kein Ersatz für die Erstellung einer Risikobeurteilung, weil ohne eine solche eventuell vorhandene Schutzlücken nicht erkannt werden könnten. Die Normen hätten gegenüber der MRL eine untergeordnete Rolle, da die MRL bzw. in der Schweiz die MaschV in der Normenhierarchie höher stehe als eine Norm. Soweit eine als wesentlich erachtete Anforderung in der harmonisierten Norm nicht abgehandelt werde, mithin eine Schutzlücke vorliege, gelte die Konformitätsvermutung nicht, so dass der Hersteller eigenständig Massnahmen definieren müsse, um das Risiko zu minimieren. Diese Auffassung ist insoweit zutreffend, als es um Risiken geht, die von der Norm nicht erfasst sind (vorne E. 5.6.5). In Bezug auf die von der Norm erfassten Risiken ist jedoch (unter Vorbehalt der Widerlegung der Konformitätsvermutung, hinten E. 8) keine eigene Risikobeurteilung mehr erforderlich, wenn die Norm eingehalten ist (vorne E. 5.6.4 und 5.6.5).

7. Entscheidend und zu prüfen ist also, ob durch die anwendbare (und hier eingehaltene) Norm SN EN 474-1 die Gefahr der unkorrekten Verriegelung abgedeckt ist.

7.1.1 Die Suva hat ihre Verfügung vom 13. März 2014 damit begründet, trotz Einhaltung der Norm SN EN 474-1 gingen von der SWE relevante Gefährdungen aus. Diese entstünden durch fehlerhafte oder unvollständige Verriegelung der SWE in Kombination mit einem Fehlverhalten des Maschinenführers, indem dieser den Verriegelungstest nicht durchgeführt habe, so dass das Anbaugerät herunterfallen könne. Ein solches Fehlverhalten sei vorhersehbar und werde durch etliche Ereignisse und Unfälle belegt. Das Risiko einer nicht korrekten Verriegelung sei durch die Norm SN EN 474-1 nicht abgedeckt; es müsse über die Risikobeurteilung abgehandelt werden. Gemäss Nummer 1.1.2 von Anhang I MRL müssten Risiken in erster Linie durch konstruktive Massnahmen minimiert werden; Warnhinweise und Betriebsanleitungen seien kein Ersatz für konstruktive Massnahmen. Es müsse durch eine technische Lösung die Situation verhindert werden, dass ein Maschinenführer sich darüber im Irrtum befinde, dass das Anbaugerät korrekt angekuppelt sei.

7.1.2 Das Bundesverwaltungsgericht erwog, die in Ziff. 5.21 und Anhang B der Norm SN EN 474-1 enthaltenen Anforderungen an Verriegelung, Verschliessen und Stellteil verfolgten das Ziel, dass keine Anbaugeräte herunterfallen. Diese Gefährdung sei somit durch die Norm abgedeckt. Sodann enthalte Ziff. 10.6 von Anhang A das Risiko "Bedienungsfehler (zurückzuführen auf unzureichende Anpassung der Maschine an menschliche Eigenschaften und Fähigkeiten)" und verweise auf Ziff. 5.21. Auch das Risiko menschlichen Fehlverhaltens sei damit von der Norm abgedeckt. Die Norm enthalte daher keine Schutzlücke. Die Tatsache, dass die bestehenden Überprüfungsmöglichkeiten nicht immer wahrgenommen würden, liege in der Natur der Sache; daraus könne nicht der Schluss gezogen werden, dass die Norm lückenhaft sei. Das Produkt erfülle somit vermutungsweise gemäss Art. 5 Abs. 2 PrSG die grundlegenden Anforderungen und die Beweislast werde umgekehrt.

7.1.3 Das WBF macht dagegen geltend, die Norm enthalte in Bezug auf die Gefahr einer nicht korrekten Verriegelung eine Schutzlücke. Die relevante Gefährdung ergebe sich aus Nr. 15 des Anhangs A der Norm ("herabfallende oder herausgeworfene Gegenstände und Flüssigkeiten"), für welche aber nicht auf Ziff. 5.21 oder Anhang B verwiesen werde; die Norm enthalte daher eine Schutzlücke. Zudem sei in Anhang B die Aufnahme oder Ankoppelung der SWE mit keinem Wort erwähnt; die Anforderungen verhinderten eine unkorrekte Verriegelung nicht. Mit einer umfassenden Risikobeurteilung wäre diese Schutzlücke zum Vorschein gekommen. Da aber praktisch nur die Norm angewendet worden sei, ohne eine umfassende Risikobeurteilung vorzunehmen, sei die Schutzlücke nicht erkannt worden. Die in der Norm enthaltenen Anforderungen verhinderten eine unkorrekte Verriegelung nicht; der Maschinenführer könne von der Führerkabine aus zwar die Verriegelung anhand des Anzeigestabs überprüfen, der Anzeigestab sei jedoch nicht geeignet, die vollständige und korrekte Verriegelung zu dokumentieren. Die weiter vorgesehene Massnahme, nach dem Ankuppelungsvorgang einen Gegendrucktest auszuführen, der erkennen lasse, ob die Ankuppelung vollständig und korrekt erfolgt sei, sei eine rein organisatorische Massnahme, welche erst zulässig sei, wenn technische Massnahmen nicht möglich seien. Es sei vorhersehbar, dass ein Maschinenführer unter Stress den Fehler begehe, die vollständige Verriegelung nicht zu überprüfen. Diese Gefährdung durch menschliches Fehlverhalten unter Berücksichtigung psychischer Aspekte sei in der Norm nicht abgedeckt. Die Ziff. 10.6 von Anhang A beziehe sich nur auf Bedienungsfehler im Zusammenhang mit unerwartetem Anlauf oder unerwartetem Durchdrehen/Überdrehen (oder jeder vergleichbaren Fehlfunktion), nicht auf allgemeines Fehlverhalten; dieses sei nur in Ziff. 8.5 und 8.6 des Anhangs A genannt, welche jedoch weder auf Ziff. 5.21 noch auf Anhang B verwiesen, womit auch diesbezüglich eine Schutzlücke bestehe. Dem vorhersehbaren Fehlverhalten müsse mit technischen Massnahmen begegnet werden. Da somit die Norm Schutzlücken aufweise und die Beschwerdegegnerin keine vollständige Risikobeurteilung durchgeführt habe, gelte die Konformitätsvermutung nicht. Das streitbetroffene Produkt entspreche nicht den geltenden Anforderungen im Sinne von Art. 3 PrSG.

7.2 Die Norm SN EN 474-1 beschreibt in ihrer Ziff. 1 ihren Anwendungsbereich: Sie legt allgemeine sicherheitstechnische Anforderungen für Erdbaumaschinen fest. Sie behandelt "alle signifikanten Gefährdungen, Gefährdungssituationen und Gefährdungsereignisse, die auf Erdbaumaschinen zutreffen, wenn sie bestimmungsgemäss verwendet werden. Die nach vernünftigem Ermessen für den Hersteller vorhersehbare Nutzung der Maschine ausserhalb der bestimmungsgemässen Verwendung ist ebenfalls berücksichtigt (siehe Abschnitt 4). Die entsprechenden Massnahmen, um die Risiken, die von den signifikanten Gefährdungen, Gefährdungssituationen und Gefährdungsereignissen während der Inbetriebnahme, des Betriebs und der Instandhaltung der Erdbaumaschine ausgehen, zu verhindern oder zu minimieren, sind in dieser Europäischen Norm beschrieben."

Abschnitt 4 lautet:

"4 Liste der signifikanten Gefährdungen

Siehe Anhang A

ANMERKUNG Der Anhang A (normativ) enthält alle signifikanten Gefährdungen, Gefährdungssituationen und Gefährdungsereignisse, soweit sie in dieser Europäischen Norm behandelt werden, die nach dem Verfahren zur Abschätzung des Risikos als signifikant für zwei oder mehr Maschinenteile festgestellt wurden und für die Massnahmen zur Beseitigung oder Reduzierung des Risikos erforderlich sind."

Anhang A ist so gegliedert, dass er eine Anzahl von Gefährdungen auflistet und dafür jeweils auf bestimmte Abschnitte in der Norm verweist.

7.3 Auf Ziff. 5.21 wird in Anhang A zwar nicht unter Ziff. 15 ("herabfallende oder herausgeworfene Gegenstände oder Flüssigkeiten") verwiesen, wohl aber unter Ziff. 14 "Fehlerhafte Montage". Im Zusammenhang mit den in Ziff. 5.21 behandelten Arbeitsausrüstungen und Schnellwechseleinrichtungen muss sich das offensichtlich auf die fehlerhafte Montage von Arbeitsausrüstungen mittels Schnellwechseleinrichtungen beziehen (vgl. die Definition von Arbeitsausrüstung in Ziff. 3.2: "Arbeitswerkzeug: Bauteil oder Satz von Bauteilen, das [der] zu einer speziellen Verwendung entweder an dieGrundmaschine oder an die Einrichtung [...] montiert werden kann"). Sodann wird unter Ziff. 25.1.3 von Anhang A genannt: "Mechanische Gefährdungen und Gefährdungsereignisse durch herabfallende Lasten, [...] wegen ungeeigneter Befestigungsmittel/Zubehörteile";dabei wird auf B.2 verwiesen. Die Gefährdung durch unkorrekte Montage oder Herunterfallen eines Arbeitsgeräts ist somit von der Norm erfasst. Zu diesem Zweck enthält Anhang B.2 die Anforderung, dass es möglich sein muss, die vollständige Verriegelung vom Maschinenführerplatz aus (oder von der Position aus, von der die SWE betätigt wird) zu überprüfen. Es ist nicht nachvollziehbar, weshalb die vollständige Verriegelung überprüfbar sein soll, wenn nicht mit dem Zweck, eine unvollständige Verriegelung zu erkennen und damit auch vermeiden zu können, dass das Anbauwerkzeug hinunterfällt. Ebenso ergibt sich aus dem Umstand, dass die Überprüfbarkeit vom Maschinenführerplatz aus möglich sein muss, dass die Überprüfung durch den Maschinenführer vorzunehmen ist. Der Bedienungsfehler, für den in Anhang A Ziff. 10.6 auf Ziff. 5.21 verweist, bezieht sich nicht nur auf unerwarteten Anlauf oder unerwartetes Durchdrehen/Überdrehen, sondern auch auf jede vergleichbare Fehlfunktion. Schliesslich verlangt Ziff. B.2.4, dass der Hersteller der SWE Anweisungen zu (u.a.) Montage, Verriegelung und Prüfverfahren bereitstellen muss. Auf diese Ziffer wird im Anhang A unter Ziff. 24 "Unzureichende Anweisungen für den Fahrer/Maschinenführer" hingewiesen. Entgegen der Auffassung des Beschwerdeführers behandelt die Norm somit das Risiko einer unkorrekten Verriegelung durch Bedienungsfehler und sie sieht eine Massnahme vor, welche genau dieses Risiko reduzieren soll, nämlich die Überprüfbarkeit der Verriegelung durch den Maschinenführer und die Pflicht des Herstellers, in der Bedienungsanleitung Anweisungen für die Verriegelung zu geben. Eine andere Frage ist dann, ob diese von der Norm vorgesehene Massnahme das Risiko hinreichend reduziert. Dies betrifft aber nicht die Tragweite der Konformitätsvermutung, sondern die Frage, ob diese widerlegt werden kann (dazu unten E. 8).

7.4 Als Zwischenfolgerung ergibt sich, dass das hier einzig zur Diskussion stehende Risiko einer unkorrekten Verriegelung der SWE von der Norm SN EN 474-1 abgedeckt ist. Damit gilt die Konformitätsvermutung von Art. 5 Abs. 2 PrSG. Daran ändert nichts, dass - wie das WBF vorbringt - nach den Regeln der Normenhierarchie das Gesetz bzw. die Maschinenrichtlinie über der Norm steht. Denn erstens ergibt sich die Konformitätsvermutung aus Art. 5 Abs. 2 PrSG, also aus dem Gesetz selber, während die Verweisung auf die MRL nur auf Verordnungsebene (Art. 2 Abs. 1 lit. b MaschV) enthalten ist, so dass auch die MRL selber in der Schweiz nur Verordnungscharakter hat. Zweitens entspricht die schweizerische Regelung derjenigen, die auch nach Art. 7 Abs. 2 MRL gilt (vorne E. 5.7).

8. Zu prüfen ist sodann, ob die Konformitätsvermutung widerlegt ist.

8.1.1 Die Suva hat in ihrer Verfügung vom 13. März 2014 ausgeführt, im Zusammenhang mit SWE, welche die SN EN 474-1 einhalten, sei es verschiedentlich zu Unfällen gekommen, worunter zwei tödlichen. Im Verfahren vor Bundesverwaltungsgericht hat sie Unterlagen zu den Unfällen eingereicht.

8.1.2 Die Vorinstanz hat dazu erwogen, die vorgelegten Unterlagen würden keine Hinweise auf Marke oder Typ der involvierten SWE enthalten. Die beiden tödlichen Unfälle seien durch SWE einer anderen Herstellerfirma verursacht worden, bei denen bestimmte Details anders gestaltet seien als beim streitbetroffenen Produkt. Aufgrund der Unfallereignisse könne nicht geschlossen werden, dass alle SWE die grundlegenden Anforderungen verletzen würden. Auch die genaue Ursache der Unfälle bleibe weitgehend unklar; nur bei den beiden tödlichen Unfällen werde die Unfallursache genau beschrieben; sie bestehe darin, dass die Bolzen ausgefahren seien, aber nicht unterhalb der unteren Achsen des Geräterahmens zu liegen kommen, und gleichzeitig die optischen und akustischen Warnungen erlöschen, so dass der Maschinist irrtümlich davon ausgehen könne, dass das Anbaugerät korrekt angekuppelt sei. Ob diese Fehlerkette auch beim streitbetroffenen Produkt auftrete, habe die Suva nicht nachgewiesen. Die Vorinstanz kam deshalb zum Schluss, dass die Konformitätsvermutung nicht widerlegt sei.

8.1.3 Der Beschwerdeführer kritisiert, die Vorinstanz habe die konkrete Sachlage ignoriert. Sie habe die technischen Unterlagen nicht gewürdigt und nicht erkannt, dass das streitbetroffene Produkt ebenfalls nach dem kritisierten Prinzip funktioniere. Die Vorinstanz verlange ein überhöhtes Beweismass, wenn sie es als nicht erwiesen erachte, dass die Fehlerkette, welche zu den Unfällen geführt habe, auch beim streitbetroffenen Produkt auftrete; als Ursache der Unfälle komme einzig eine unkorrekte Verriegelung in Frage, die nach dem Funktionsprinzip des streitbetroffenen Geräts auch bei diesem möglich sei. Begründete Zweifel an der Konformität müssten ausreichen, um die Konformitätsvermutung umzustossen.

8.2 Nicht bestritten ist die Feststellung der Vorinstanz, dass die zitierten Unfälle nicht von einem Produkt des streitbetroffenen Typs verursacht wurden und dass nicht im Einzelnen nachgewiesen ist, dass das streitbetroffene Produkt die gleiche technische Ausführung aufweist wie diejenigen SWE, welche die zwei tödlichen Unfälle verursacht haben. Zutreffend ist, dass die Vorinstanz nicht im Einzelnen auf die technischen Unterlagen eingegangen ist. Sie brauchte dies allerdings auch nicht von Amtes wegen zu tun, da sie mit Recht von der Konformitätsvermutung ausging (vorne E. 7) und es daher Sache der Suva war, diese Vermutung zu widerlegen (vorne E. 5.7) und die dazu erforderlichen Angaben zu machen. Die Suva ist in ihrer Verfügung vom 13. März 2014 nicht im Detail auf die technische Beschaffenheit des streitbetroffenen Produkts eingegangen, sondern hat die Massnahme damit begründet, dass ein Herunterfallen des Anbaugeräts nicht mit technischen Massnahmen verhindert werde. In der Vernehmlassung vor dem Bundesverwaltungsgericht hat sie technische Erläuterungen zur SWE-Problematik eingereicht und zugleich eingeräumt, dass bestimmte Details bei verschiedenen Produkten anders gestaltet sein könnten; doch bleibe die Grundproblematik überall dieselbe, nämlich dass eine mangelhafte Verriegelung vom Maschinenführer oftmals nicht erkannt werde, obwohl eine Überprüfung möglich wäre. Dass beim streitbetroffenen Produkt eine unvollständige Verriegelung nicht mit technischen Mitteln verunmöglicht wird, ist nicht umstritten. Der Streit dreht sich vielmehr um die Frage, ob bereits deshalb die Konformitätsvermutung umgestossen ist.

8.3.1 Wie bereits ausgeführt, legen die grundlegenden Sicherheits- und Gesundheitsanforderungen nach Anhang I MRL nicht detailliert fest, wie hoch das erforderliche Sicherheitsniveau sein muss. Allerdings finden sich doch einige Hinweise: So ist zunächst - als "erste[r] Schritt des im allgemeinen Grundsatz 1 [des Anh. 1 MRL] beschriebenen Verfahrens der Risikobeurteilung" (Leitfaden MRL, a.a.O., § 172 S. 156) - das mit einer Maschine verbundene Risiko,das die Marktüberwachungsbehörde zu beurteilen hat, nicht auf das Risiko zu begrenzen, das bei normaler, d.h. bestimmungsgemässer Verwendung der Maschine (vgl. HESS, Sicherheit, a.a.O., S. 37 f.; siehe auch Ziff. 1.1.1. lit. h Anh. 1 MRL) besteht. Vielmehr ist auch jede vernünftigerweise vorhersehbare Fehlanwendung (zum Begriff: Ziff. 1.1.1. lit. i Anh. 1 MRL) zu berücksichtigen - wie verschiedene Bestimmungen der MRL fordern (vgl. Allgemeine Grundsätze Ziff. 1 Abs. 2 erster Spiegelstrich, Ziff. 1.1.2 lit. a und c Abs. 1 Anh. I MRL; vgl. Leitfaden MRL, a.a.O., § 172 S. 156; Urteil des EuG vom 15. Juli 2015 T-337/13 CSF Srl, Randnr. 56, 59, 60 i.f.; HESS, Handkommentar, a.a.O., N. 20 i.i. zu Art. 3 PrSG). Einem Unternehmer ist deshalb zumutbar, dass er sich die Spielarten eines Fehlgebrauchs ausmalt und sie in die Produktgestaltung einplant (vgl. EUGÉNIE HOLLIGER-HAGMANN, Produktesicherheitsgesetz, 2010, S. 122 ff.). Nicht anders verhält es sich bei Schnellwechseleinrichtungen. Dabei kann sich der Hersteller seiner Pflicht, nur sichere Produkte in Verkehr zu bringen, nicht dadurch entledigen (siehe unten E. 8.3.2-8.3.4), dass er eine Gebrauchsanweisung mit Gefahrenwarnungen verfasst (vgl. Urteil des EuG vom 15. Juli 2015 T-337/13 CSF Srl, Randnr. 69 f.; siehe auch Leitfaden MRL, a.a.O., § 174 S. 162 i.f.). Insofern umfasst im vorliegenden Fall das Risiko auch die nicht korrekte Verriegelung der Schnellwechseleinrichtung (= Fehlgebrauch [Unachtsamkeit: vgl. Leitfaden MRL, a.a.O., § 172S. 157]), da dies eine Verwendung darstellt, mit der vernünftigerweise zu rechnen und die vorhersehbar ist. Dies ist im Grundsatz unbestritten.

8.3.2 Angesichts der Schwierigkeit, die Höhe des erforderlichen Sicherheitsniveaus zu bezeichnen, hat die MRL - wie bereits ausgeführt - eine bestimmte Methodik und bestimmte Kriterien festgelegt: Ziff. 1.1.2. Anh. I MRL legt die fundamentalen Grundsätze für die Integration der Sicherheit fest. Die Sicherheit soll primär durch "Sicherheit durch Konstruktion" (Leitfaden MRL, a.a.O., § 173 S. 157, § 174 S. 160) erreicht werden. Dies zeigt sich auch implizit in der Methodik, welche in Ziff. 1.1.2. lit. b Anh. 1 MRL zum Ausdruck kommt: Bei der Wahl der angemessensten Lösung muss der Hersteller folgende Grundsätze anwenden, und zwar in der angegebenen Reihenfolge: erstens Beseitigung oder Minimierung der Risiken so weit wie möglich (Integration der Sicherheit in Konstruktion und Bau der Maschine); zweitens Ergreifen der notwendigen Schutzmassnahmen gegen Risiken, die sich nicht beseitigen lassen; drittens Unterrichtung der Benutzer über die Restrisiken aufgrund der nicht vollständigen Wirksamkeit der getroffenen Schutzmassnahmen; Hinweis auf eine eventuell erforderliche spezielle Ausbildung oder Einarbeitung und persönliche Schutzausrüstung. Sicherheit durch Konstruktion hat Vorrang. Der zweite Schritt (technische Schutzmassnahmen) ist nur dann zulässig, "wenn es nicht möglich ist, durch Massnahmen zur Integration der Sicherheit in die Konstruktion Gefährdungen zu beseitigen oder Risiken hinreichend zu verringern" (vgl. Leitfaden MRL, a.a.O., § 174 S. 161; SCHUCHT/BERGER, Praktische Umsetzung der Maschinenrichtlinie, 2016, S. 110; WILRICH, a.a.O., S. 118 f.). M.a.W. ist unmittelbare Gefahrenabwehr durch Konstruktion vorrangig gegenüber der mittelbaren technischen Sicherheit (WILRICH, a.a.O., Rz. 308 i.f.). Die von den Herstellern zu ergreifenden Massnahmen müssten demnach zum Ziel haben, "bereits im Stadium der Konstruktion und des Baus der Maschine jedes Risiko auszuschliessen, zu dem ihre bestimmungsgemässe Verwendung oder ihre vernünftigerweise vorhersehbare Fehlanwendung führen könnte" (Urteil des EuG vom 15. Juli 2015 T-337/13 CSF Srl, Randnr. 71 i.i.). Dies wird auch durch Ziff. 1.2.1 Anhang I MRL bestätigt: So sind Steuerungen (zum Begriff vgl. Leitfaden MRL, a.a.O., § 184 Abs. 1 S. 175) von Maschinen so zu konzipieren und zu bauen, dass es nicht zu Gefährdungssituationen kommt. Insbesondere müssen sie so ausgelegt und beschaffen sein, dass ein bewegliches Maschinenteil oder ein von der Maschine gehaltenes Werkstück u.a. nicht herunterfallen darf. Im Leitfaden MRL werden dabei die zugehörigen Teile der Steuerung zu Verriegelungseinrichtungen besonders hervorgehoben (Leitfaden MRL, a.a.O., § 184 Abs. 3 S. 176).

8.3.3 Bei all dem ist zu berücksichtigen, dass die nach Ziff. 1.1.2. lit. b Anh. I MRL vorgesehene Reihenfolge der Grundsätze für die Integration der Sicherheit unabhängig von der Grösse des Risikos anzuwenden ist. Auch bei kleinen Risiken ist zunächst zu prüfen, ob die Sicherheit in Konstruktion und Bau der Maschine erfolgen kann, um damit Risiken zu beseitigen oder zu minimieren - allerdings nur "so weit wie möglich". Solange also eine Schutzmassnahme auf einer höheren Stufe möglich und zumutbar ist, darf nicht auf eine niedrigere Stufe ausgewichen werden (WILRICH, a.a.O., Rz. 308). Fehl ginge diesbezüglich deshalb auch eine Argumentation, wonach sich bei Maschinen naturgemäss Unfälle infolge menschlichen Fehlverhaltens ereignen. Denn Ziff. 1.1.2. lit. b Anh. I MRL will mit der Sicherheit durch Konstruktion (d.h. technisch bauliche Massnahmen) dieses, sofern es vernünftigerweise vorhersehbar ist, so weit wie möglich gerade ausschliessen. Angesichts der Vorgaben von Ziff. 1.1.2. lit. b Anh. I MRL ist es auch müssig, darüber zu diskutieren, ob mit der vorgegebenen Abarbeitung der Risiken diese bei jedem einzelnen Schritt signifikant reduziert werden. Massgebend ist allein, ob eine Schutzmassnahme auf einer höheren Stufe möglich und zumutbar ist.

8.3.4 Die Massnahmen zur Integration der Sicherheit in Konstruktion sind nur "so weit wie möglich" an die Hand zu nehmen. Damit wird auf die Zumutbarkeit verwiesen (vgl. WILRICH, a.a.O., Rz. 308, 340 ff.; siehe auch Erwägungsgrund 14 MRL). Ist eine Massnahme nicht zumutbar, dürfen und müssen Massnahmen der zweiten Stufe ergriffen werden. Da dem Aufwand zur Beseitigung von Gefährdungen und zur Erreichung von Sicherheit grundsätzlich keine Grenzen gesetzt sind, stellt sich die Frage, wann für die einzelnen Stufen die Zumutbarkeit überschritten wird. Das PrSG fordert kein Nullrisiko - wie insbesondere Art. 3 Abs. 1 i.f. PrSG klarmacht. Allerdings kann man sich nach Ziff. 1.1.2. lit. b Anh. I MRL nur innerhalb einer Stufe auf die fehlende Zumutbarkeit berufen. Es ist also nicht möglich, Massnahmen der dritten Stufe (Gebrauchsanweisung) gegenüber der ersten Stufe (bauliche Massnahmen) zu vergleichen. Wo die Unzumutbarkeitsgrenze genau verläuft, ist im Einzelfall zu beurteilen. Es sind diejenigen Massnahmen zu treffen, die nach den Gegebenheiten des konkreten Falles zur je nach Stufe nach Ziff. 1.1.2 lit. b Anh. I MRL geforderten Risikoverminderung erforderlich und nach objektiven Massstäben zumutbar sind. Die Massnahmen hängen dabei von der "Schwere möglicher Verletzungen oder Gesundheitsschäden" und "der Wahrscheinlichkeit ihres Eintretens" Anhang I (vgl. Allgemeine Grundsätze Ziff. 1 Abs. 2 drittes Lemma MRL) ab und je grösser die möglichen Schäden sind, desto strengere Massnahmen sind zu ergreifen. Insgesamt sind die wirksamsten Massnahmen anzuwenden, deren Kosten zu den Gesamtkosten der betreffenden Maschinenkategorie und der erforderlichen Risikominimierung in einem angemessenen Verhältnis stehen (vgl. Leitfaden MRL, a.a.O., § 161 S. 149).

8.4 Im vorliegenden Fall ist unbestritten, dass bei einer unkorrekten Handhabung des Verriegelungssystems schwere Gesundheitsschäden auftreten können; die Eintrittswahrscheinlichkeit wurde weder von den Vorinstanzen noch vom Beschwerdeführer quantifiziert. Erwähnt wurden einige Unfälle, wovon zwei tödliche, doch wurden diese nicht in Relation zur Anzahl Betriebsstunden gesetzt. Trotzdem liegt ein zu regulierendes Risiko vor, was auch die Norm SN EN 474-1 mit entsprechenden Vorschriften anerkennt. Diese enthält zwar für die Verriegelung (Ziff. B.2.1 erstes Lemma Anh. B der Norm SN EN 474-1) eine technische Regelung - allerdings hat sie nur die normalen Betriebsbedingungen im Blick. Für vernünftigerweise vorhersehbare Fehlanwendungen sieht sie - entgegen den grundlegenden Sicherheits- und Gesundheitsschutzvorschriften nach Ziff. 1.1.2 lit. b Anh. I MRL - nur organisatorische Massnahmen (= Massnahmen nach Ziff. 1.1.2 lit. b zweites Lemma Anh. I MRL; dazu WILRICH, a.a.O., Rz. 308) vor: Die Verriegelungsstellung muss vom Maschinenführerplatz oder von der Position aus, von der das Verriegelungsstellteil betätigt wird, überprüft werden können (Ziff. B.2.1 zweites Lemma Anh. B der Norm SN EN 474-1). Die Norm SN EN 474-1 verlangt - wie der Beschwerdeführer und auch die Suva während des Verfahrens wiederholt und genügend klar vorgebracht haben - hingegen keine Integration der Sicherheit in Konstruktion und Bau der Maschine für vernünftigerweise vorhersehbare Fehlanwendungen, mithin keine diesbezügliche Beseitigung oder Minimierung dieser Risiken. Wie bereits ausgeführt, können organisatorische Massnahmen (vgl. dazu WILRICH, a.a.O. Rz. 308) erst dann ergriffen werden, wenn die technisch baulichen Massnahmen unverhältnismässig wären (vgl. WILRICH, a.a.O., Rz. 308). Insofern berücksichtigt die Norm SN EN 474-1 einen fundamentalen Aspekt der grundlegenden Sicherheits- und Gesundheitsanforderungen nicht, weshalb die entsprechenden Schnellwechseleinrichtungen, die sich an der Norm SN EN 474-1 orientieren, die grundlegenden Sicherheits- und Gesundheitsanforderungen verletzen. Insofern ist die Vermutung von Art. 5 Abs. 2 PrSG widerlegt.

9.1 Das streitbetroffene Produkt ist in der EU nach EU-Vorschriften hergestellt worden. Es ist deshalb zu prüfen, ob das MRA der Vermutungswiderlegung entgegensteht.

9.2 Der Sinn dieses Abkommens besteht darin, dass für die Vermarktung eines Produkts in der Schweiz und in der EU nur noch eine einzige Konformitätsbewertung oder Zulassung erforderlich ist, um so technische Handelshemmnisse abzubauen (Präambel MRA; Botschaft vom 23. Juni 1999 zur Genehmigung der sektoriellen Abkommen zwischen der Schweiz und der EG [nachfolgend: Botschaft bilaterale Abkommen], BBl 1999 6128 ff., 6148 f., 6170 f., 6213;HEINZ HERTIG, Grundzüge des Abkommens über die gegenseitige Anerkennung von Konformitätsbewertungen, in: Accords bilatéraux Suisse - UE, Felder/Kaddous [Hrsg.], 2001, S. 555 ff., 556 f.) und so das Tor zum Binnenmarkt zu öffnen (PFENNINGER, FS Hänni, a.a.O., S. 420). Das MRA kennt zwei verschiedene Anerkennungsmechanismen: In denjenigen Bereichen, in denen die Anforderungen der EU und diejenigen der Schweiz nicht als gleichwertig anerkannt werden, anerkennen die Gemeinschaft und die Schweiz gegenseitig die von den gemäss den in diesem Abkommen festgelegten Verfahren anerkannten Stellen ausgestellten Berichte, Bescheinigungen, Zulassungen und Konformitätskennzeichen sowie die Konformitätserklärungen des Herstellers, mit denen die Übereinstimmung mit den Anforderungen der anderen Vertragspartei in den in Artikel 3 genannten Bereichen bescheinigt wird (Art. 1 Abs. 1 MRA). In den Fällen, in denen die schweizerischen Anforderungen mit denen der Gemeinschaft als gleichwertig beurteilt werden, anerkennen die Gemeinschaft und die Schweiz zur Vermeidung doppelter Verfahren gegenseitig die von den anerkannten Konformitätsbewertungsstellen ausgestellten Berichte, Bescheinigungen und Zulassungen sowie die Konformitätserklärungen des Herstellers, mit denen die Übereinstimmung mit ihren jeweiligen Anforderungen in den in Artikel 3 genannten Bereichen bescheinigt wird (Art. 1 Abs. 2 MRA). Diese vereinfachte Form der gegenseitigen Anerkennung erlaubt es einer Stelle, die Konformität eines Produkts auf der Grundlage einer einzigen Gesetzgebung zu bewerten, da diese mit der Gesetzgebung der anderen Vertragspartei als gleichwertig anerkannt wird. Dies bedeutet, dass Schweizer Produkte ein einziges Mal auf der Grundlage der schweizerischen Gesetzgebung kontrolliert und anschliessend direkt auf den EU-Markt gebracht werden können (Botschaft bilaterale Abkommen, BBl 1999 6214 f., 6225, 6431; THEODOR BÜHLER, Abkommen über die gegenseitige Anerkennung von Konformitätsbewertungen, in: Bilaterale Verträge I & II Schweiz - EU, Thürer und andere [Hrsg.], 2007, S. 581 ff., 601 f.; HERTIG, a.a.O., S. 557 f.; HANSPETER PFENNINGER, Produktsicherheitsrecht Schweiz - EU im Vergleich [nachfolgend: AJP 2014], AJP 2014 S. 1157 ff., 1161; MARTENET/TERCIER, Loi fédérale sur les entraves techniques au commerce [LETC], in: Commentaire romand, Droit de la concurrence, 2. Aufl. 2013, S. 2159 ff., Intro LETC N. 122; OSCAR ZOSSO, Das Abkommen über die gegenseitige Anerkennung von Konformitätsbewertungen: eine politische und wirtschaftliche Würdigung, in: Accords bilatéraux Suisse-EU, Felder/Kaddous [Hrsg.], 2001, S. 449 ff., 550). Umgekehrt werden Produkteaus der EU ein einziges Mal auf der Grundlage der EU-Gesetzgebung kontrolliert und können anschliessend direkt auf den schweizerischen Markt gebracht werden. Festzuhalten ist dabei, dass das MRA nur die Anerkennung der Konformitätsbewertungsergebnisse regelt und nicht die Harmonisierung des diesem Verfahren zugrunde liegenden Rechts (vgl. PFENNINGER, AJP 2014, a.a.O., S. 1161)

bzw. nicht die Anerkennung von technischen Vorschriften oder Normen (vgl. GEORGIOS DIMITROPOULOS, Zertifizierung und Akkreditierung im Internationalen Verwaltungsverbund, 2012, S. 132 mit Fn. 442).

9.3 Gemäss Art. 1 Abs. 3 MRA legt der durch das MRA gebildete Ausschuss fest, in welchen Fällen Absatz 2 Anwendung findet. Gemäss Art. 3 gilt dieses Abkommen für die durch die Rechts- und Verwaltungsvorschriften in Anhang 1 verbindlich vorgeschriebenen Konformitätsbewertungsverfahren. Anhang 1 legt fest, welche Produktsektoren unter dieses Abkommen fallen. Gemäss Anhang 1 Kapitel 1 gehören dazu auch Maschinen, wobei in Abschnitt 1 für die EU die Richtlinie 2006/42/EG und für die Schweiz das PrSG, die PrSV (SR 930.111) und die MaschV als Bestimmungen des Art. 1 Abs. 2 bezeichnet werden. Die Vorschriften gelten somit als gleichwertig. Die Konformitätserklärungen der Hersteller, mit denen die Übereinstimmung von Maschinen mit dem EU-Recht bescheinigt wird, sind daher gemäss Art. 1 Abs. 2 auch in der Schweiz anzuerkennen.

9.4 Zu klären ist nunmehr, wie sich die Verpflichtung, die Konformitätserklärungen der Hersteller, mit denen die Übereinstimmung von Maschinen mit dem EU-Recht bescheinigt wird, anzuerkennen, auf das vorliegende Verfahren auswirkt. Das Inverkehrbringen des hier strittigen Produkts richtet sich nach dem PrSG und der MaschV i.V.m. der MRL. In diesem Rahmen sind u.a. verschiedene Nachweise und bei einem grenzüberschreitenden Sachverhalt wie hier eine EU-Konformitätserklärung zu erbringen. Nur auf diesen Teilbereich bezieht sich das MRA. Folgerichtig können die schweizerischen Behörden im Rahmen der Marktüberwachung deshalb auch überprüfen, ob die für das Inverkehrbringen eines in der Europäischen Union im Verkehr befindlichen Produkts erforderliche Konformitätserklärung zu Recht erfolgt ist (vgl. Urteile 2C_754/2010 vom 1. Februar 2011 E. 3.7; 2C_790/2009 vom 21. Oktober 2010 E. 4.4). Dabei dürfen angesichts der gleichwertigen Rechtsgrundlage die schweizerischen Behörden eine EU-Konformität nicht mit der Begründung verneinen, das Schutzniveau sei in der Schweiz höher als in der EU (vgl. PFENNINGER, FS Hänni, a.a.O., S. 433 f.). Nicht Gegenstand des MRA bildet indes die Frage, ob die technischen Normen auch tatsächlich die grundlegenden Sicherheits- und Gesundheitsanforderungen erfüllen. Zur Beantwortung dieser Frage ist allein das PrSG anwendbar (so wohl auch das Urteil 2C_754/2010 vom 1. Februar 2011 E. 3.7 Abs. 2, das nach Bezugnahme auf das MRA ausdrücklich festhält, "dass [wenn] die auf das betreffende Gerät anwendbaren technischen Vorschriften nicht eingehalten sind, [...] die erforderlichen Massnahmen zu treffen [sind]." Technische Vorschriften sind rechtsverbindliche Regeln [Art. 3 lit. b THG], was die grundlegenden Sicherheits- und Gesundheitsanforderungen nach Art. 4 PrSG sind): Nach Art. 1 Abs. 3 MRA sollen doppelte Verfahren vermieden werden. Da das PrSG und auch dieMRL auf dem Grundsatz der Selbstregulierung basieren (Art. 5 PrSG, Art. 7 MRL), umfasst das Verfahren nur dasjenige Vefahren, wonach festgestellt wird, dass das Produkt den festgelegten Anforderungen entspricht (Art. 2 Ziff. 1 Begriff: Konformitätsbewertung MRA). Das Verfahren klärt demgegenüber nicht, dass das Produkt den Anforderungen nach Art. 4 PrSG bzw. Art. 5 MRL entspricht. Dies wird nur vermutet, und die Vermutung kann in einem separaten Verfahren widerlegt werden. Anders wäre zu entscheiden, wenn das Verfahren in einer staatlichen Zulassung, welche ebenfalls Gegenstand des MRA bildet (vgl. ZOSSO, a.a.O., Fn. 2), enden würde, weil dort eine Übereinstimmung des Produkts mit dem rechtsverbindlichen Recht festgestellt wird (zu einer solchen Regelung siehe Art. 4 BGBM [SR 943.02]). Würde demgegenüber mit der Verpflichtung, die Konformitätserklärungen der Hersteller, mit denen nur die Übereinstimmung von Maschinen mit den technischen Normen der EU bescheinigt wird, anzuerkennen, auch die Konformität der unverbindlichen, nur vermutungsweise rechtskonformen Regeln mit dem verbindlichen Recht umfassen, würden durch einen Staatsvertrag bisher unverbindliche Regeln unter der Hand zu nicht überprüfbarem verbindlichen Regeln, d.h. zu Recht, was ja - wie bereits oben ausgeführt (oben E. 9.2) - nicht der Regelung des MRA entspricht. Abgesehen davon, wären bei einem solchen Verständnis der Schweiz bei einem akuten nicht tragbaren Risiko auch die Hände gebunden, um entsprechende Massnahmen zu ergreifen (siehe auch diese E. i.f.), was nicht der Intention des MRA entspricht: Mit dem MRA soll zwar der Handel erleichtert werden, allerdings nur unter gleichzeitiger Wahrung u.a. des Gesundheitsschutzes und der Sicherheit (Präambel MRA). Diese Auffassung lässt sich auch Art. 12 Abs. 4 MRA entnehmen, wonach jede Vertragspartei die andere Vertragspartei unverzüglich über die in ihrem Gebiet getroffenen Schutzmassnahmen unterrichtet. Für dieses Verständnis spricht sodann auch die Perspektive der EU-Staaten: Nach der MRL sind in erster Linie die nationalen Behörden dafür zuständig zu beurteilen, ob eine Maschine die Gesundheit oder Sicherheit von Personen zu gefährden droht, und allfällige Massnahmen zu ergreifen. "Die zu diesem Zweck in Art. 11 [MRL] vorgesehene Schutzklausel muss in Zusammenhang mit Art. 114 Abs. 10 AEUV gesehen werden, der es den Mitgliedstaaten erlaubt, aus einem oder mehreren der in Art. 36 AEUV genannten nicht wirtschaftlichen Gründe [...], zu denen der Schutz der Gesundheit und des Lebens von Menschen gehört, solche Massnahmen zu treffen" (Urteil des EuG vom 15. Juli 2015 T-337/13 CSF Srl, Randnr. 79). Solche Schutzklauseln stellen ein Instrumentarium dar, um in Notfällen schnell reagieren zu können. Zwar ist damit zwingend ein Kontrollverfahren verbunden, um die Rechtmässigkeit der Massnahme beurteilen zu können (vgl. MATTHIAS ROSSI, in: Europäisches Unionsrecht, Kommentar, Vedder/Heintschel von Heinegg [Hrsg.], 2012, N. 11 zu Art. 114 AEUV), doch ändert dies nichts an der Tatsache, dass die nationalen Behörden bei einer Sachlage, gemäss welcher das Produkt nicht den grundlegenden Gesundheits- und Sicherheitsanforderungen genügt, die notwendigen Massnahmen ergreifen können müssen, um einen möglichen Schaden abwenden zu können. Insofern ist deshalb davon auszugehen, dass die Mitgliedstaaten nicht auf ihr diesbezügliches Recht verzichtet haben.

Entsprechend Art. 12 Abs. 4 MRA hat die Schweiz die andere Vertragspartei über die getroffenen Schutzmassnahmen zu informieren.