Der Digital Resilience Act
Der Cyber Resilience Act verändert das Datenschutzrecht grundlegend. Ab 2027 müssen Software-Produkte nicht nur Sicherheitsupdates liefern, sondern auch ihre Cybersicherheit per CE-Kennzeichen und Software-Stückliste nachweisen. Damit wird der CRA zu einem faktischen „Sicherheitsupdate“ der DSGVO – mit weitreichenden Folgen für Datensicherheit, Rechtsgrundlagen und digitale Souveränität.
Der Cyber Resilience Act: das Sicherheitsupdate für die DSGVO? Sicherheitsupdates sind eine gute Sache. So gut, dass sie ab 2027 gesetzliche Pflicht sind. Dann müssen in der EU Produkte mit digitalen Elementen mit Sicherheitsupdates versorgt werden. Die Vorgabe schreibt der Cyber Resilience Act vor (CRA, Amtsblatt der Europäischen Union). Meldepflichten für Softwaresicherheitslücken gelten bereits ab dem 11. September 2026.
Fast alle Datenverarbeitungen nach der DSGVO beruhen auf Produkten mit digitalen Elementen. Ob beabsichtigt oder nicht: Die Vorgaben des CRA sind eine wesentliche Änderung der DSGVO. Betroffen sind neben den Pflichten zur Datensicherheit auch die bereits eingespielten Regeln zu Rechtsgrundlagen und Auftragsverarbeitern. Das CRA-Update der DSGVO könnte in seiner Wirkung größer sein als die vorgeschlagenen Änderungen des Omnibus-Pakets (Entwurf der EU-Kommission).
Die Befolgung der Datensicherheitspflichten nach der DSGVO lässt sich mit Geltung des CRA schnell überprüfen. Verweist die Datenschutzerklärung ab dem 11. Dezember 2027 auf den Einsatz eines (neuen) Software-Produkts ohne CE-Kennzeichen, ist ein Datensicherheitsverstoß formell indiziert. Das CE-Kennzeichen ist der Leser:in bereits bekannt. Es braucht wenige Sekunden, bis ein Produkt im eigenen Hausrat identifiziert ist, das ein solches CE-Kennzeichen trägt (Wikipedia). Neu ist für Software-Produkte die Pflicht „zum Anbringen des CE-Kennzeichens”. Damit muss die Konformität mit dem CRA erklärt werden. Diese und weitere Pflichten des CRA gelten vollständig ab dem 11. Dezember 2027 für neue Produkte mit digitalen Elementen oder für solche, die etwa durch ein Update wesentlich verändert werden.
Die neuen Pflichten des CRA belegen das Spannungsverhältnis von Datenschutz und IT-Sicherheit mit neuer Intensität. Es stellt sich die Frage, ob Datenverarbeitungen zugunsten der Cybersicherheit eine gesetzliche Pflicht als Rechtsgrundlage für die DSGVO sind und den Datenschutz aufweichen. Dies wird anders als bei einigen der Vorgaben der nationalen Umsetzung von NIS2 (Mitteilung der Bundesregierung zum finalen Beschluss des Bundesrats) zu verneinen sein. Zu groß ist der Spielraum, wie das Produkt mit digitalen Elementen ein Mindestmaß an Cybersicherheit erreichen kann. Dennoch können die umfangreichen Vorgaben nach dem CRA bei der Findung einer Rechtsgrundlage für die Datenverarbeitung hilfreich sein. Die Geltung des CRA wird neue vertragliche Pflichten und berechtigte Interessen schaffen. Hier bietet sich die Anknüpfung als Rechtsgrundlage für Datenverarbeitungen an. Dabei wird auch die Rechtsgrundlage der Auftragsverarbeitung – insbesondere in Drittländer – durch den CRA tangiert.
Seit dem europäischen Digitalgipfel am 18. November (Tagesschau) besteht nämlich ein neues Bewusstsein für die nationalen Grenzen der Datenverarbeitung. Datenverarbeitungen können bereits heute auf Drittlandtransfers und den Grad ihrer Souveränität durch Einsicht in die Auftragsverarbeitungsverträge überprüft werden. Dabei kann die Datenverarbeitung auf Software-Produkten beruhen, die nur mit einem Transfer in Drittländer funktionieren. Dennoch mag die Datenschutzdokumentation digitale Souveränität ausweisen. Es könnte aber auch eine Software-Stückliste geben (auch bekannt als „Software Bill of Materials“ oder „SBOM“, siehe hierzu SBOM-Anforderungen des BSI). Die Software-Stückliste kann als „Zutatenliste“ des Software-Produkts „Spuren von Drittlandtransfers“ enthalten. Betroffene oder Datenschutzaufsichten mit Zugriff auf die Software-Stückliste hätten damit Beweise, die der Datenschutzdokumentation widersprechen. Grundlage für diesen Widerspruchsbeweis ist die Pflicht aus dem CRA, dass eine solche Software-Stückliste ab dem 11. Dezember 2027 für neue und wesentlich veränderte Software-Produkte existieren muss.
Typisch für den CRA als Produktrecht und damit fast Neuland für das Datenschutzrecht sind konkretisierte Vorgaben durch verschiedene Arten von Normen (DIN). Das eigene E-Bike etwa ist nicht nur CE-gekennzeichnet, sondern bedarf auch immer einer Konformitätserklärung. In dieser wird die Konformität mit dem einschlägigen Produktrecht (fünf EU-Richtlinien) und Normen (sechs DIN-, EN- und ISO-Normen) erklärt. Ein Internetbrowser mit Passwortmanager und Datenfernverbindung zu Zwecken des Cloud-Speichers muss die Konformität mit dem CRA erklären. Optional kann Konformität etwa mit der Norm für Passwortmanager EN 304-618 erklärt werden (Entwurf der EN 304-618). Eine im Datenschutzrecht bisher bekannte Zertifizierung nach DIN EN ISO/IEC 27001 wird neuerdings durch produktrechtliche Normen-Compliance begleitet. Wie die Zertifizierung ist die produktrechtliche Normen-Compliance keine Pflicht, aber haftungsrechtlich von Vorteil und weiterer Klärung wert und bedürftig.
Klärungsbedürftig ist auch, welche Komponenten von der Konformitätserklärung umfasst sind. Der CRA gilt nämlich zunächst nicht für Open-Source-Software. Unter der Bedingung der Marktbereitstellung gilt jedoch eine Rückausnahme. Die damit einhergehende Unsicherheit, ob eine Open-Source-Komponente von der Konformitätserklärung für das Software-Produkt umfasst sein kann, darf oder muss, ist damit voreingestellt. Als Daumenregel liegt Marktbereitstellung vor, wenn mit der Open-Source-Komponente Geld verdient wird. Geradezu entlastend wirkt hier die Rechtssicherheit der DSGVO. Sie gilt für jede (personenbezogene) Datenverarbeitung: sowohl auf der CRA-freien Open-Source-Komponente als auch auf dem CRA-verpflichteten Software-Produkt. Und die gute Nachricht zum Schluss. Die aktuellen Vorschläge des Omnibus-Pakets haben auf die hier vorgestellte Wechselwirkung von DSGVO und CRA keine Auswirkungen.
Damit wird der CRA in Gesamtschau viele abstrakte Pflichten der DSGVO konkretisieren und das Datenschutzrecht vor neue Aufgaben und Möglichkeiten stellen. Damit liegt nicht nur ein Sicherheitsupdate der DSGVO vor. Vielmehr wird das europäische Datenschutzrecht wesentlich verändert.
Wir danken Rechtsanwalt Maximilian Kroker für diesen Beitrag. Er engagiert sich als Junior-Fellow der GI für die Interessen der Informatik (https://gi.de/ueber-uns/personen/junior-fellows). Haben auch Sie ein Thema im Fokus, das Sie interessiert? Wir freuen uns auf Ihre Ideen!
Der Text erschien zuerst in unserem Newsletter GI-Radar. Alle Ausgaben gibt es hier zum Nachlesen. Sie haben auch einen Vorschlag für ein Thema? Wir freuen uns über Ihre Nachricht an redaktion@gi-radar.de.
