Personenbezogene Daten

Personenbezogene Daten definiert der Cyber Resilience Act (CRA) nicht selbst. Artikel 3 Nummer 47 verweist auf Artikel 4 Nummer 1 der Verordnung (EU) 2016/679, der Datenschutz-Grundverordnung (DSGVO). Dort sind es alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die Identifizierbarkeit darf auch indirekt entstehen, etwa über eine Kennnummer, Standortdaten, eine Online-Kennung oder besondere Merkmale der Identität dieser Person.

Für die Produktarbeit ist vor allem die Reichweite dieses Begriffs relevant. Geräteseriennummern, Kontokennungen, IP-Adressen in Protokolldateien und Telemetrie fallen darunter, sobald sie sich einer Person zuordnen lassen, etwa über ein Nutzerkonto.

Wo der Begriff in der Verordnung wirklich steht

Im verfügenden Teil des CRA wird der definierte Begriff an genau drei Stellen verwendet: in Anhang I Teil I Nummer 2 Buchstaben e, f und g, in Artikel 7 Absatz 2 Buchstabe b und in Artikel 52 Absatz 7. Wer die Verordnung nach Datenschutzpflichten durchsucht, findet also wenig, und das ist kein Versehen.

Anhang I schützt Daten nämlich unabhängig von ihrer Art. Die drei einschlägigen Buchstaben enthalten jeweils die Wendung „personenbezogener oder sonstiger Daten“. Ob ein Datenfeld personenbezogen ist, entscheidet damit fast nie darüber, ob eine Anforderung greift. Es entscheidet darüber, wie schwer das Risiko wiegt, das Sie nach Artikel 13 Absatz 2 bewerten müssen.

Was Anhang I konkret verlangt

• Buchstabe e: die Vertraulichkeit gespeicherter, übermittelter oder anderweitig verarbeiteter Daten schützen, etwa durch Verschlüsselung mit modernsten Mechanismen
• Buchstabe f: die Integrität von Daten, Befehlen, Programmen und Konfigurationen vor einer vom Nutzer nicht genehmigten Manipulation oder Veränderung schützen und deren Beschädigung melden
• Buchstabe g: nur Daten verarbeiten, die angemessen und von Bedeutung sind und auf das erforderliche Maß beschränkt bleiben („Datenminimierung“)
• Buchstabe m: Nutzern ermöglichen, alle Daten und Einstellungen dauerhaft sicher und einfach zu löschen, und eine mögliche Übertragung auf andere Produkte oder Systeme sicher gestalten

Bemerkenswert ist Buchstabe g. Datenminimierung ist ein Grundsatz des Datenschutzrechts, und hier steht er in einer Produktverordnung. Sein Maßstab ist nicht die Einwilligung des Nutzers, sondern die Zweckbestimmung des Produkts.

Alle Anforderungen aus Anhang I Teil I Nummer 2 gelten auf der Grundlage der Bewertung der Cybersicherheitsrisiken nach Artikel 13 Absatz 2 und nur, „soweit zutreffend“. Ist eine davon auf Ihr Produkt nicht anwendbar, verlangt Artikel 13 Absatz 4 eine klare Begründung in der technischen Dokumentation.

CRA und DSGVO stehen nebeneinander

Erwägungsgrund 32 hält fest, dass der CRA unbeschadet der DSGVO gelten soll. Ein verfügender Artikel dazu fehlt, der Erwägungsgrund ist die einzige Fundstelle. Die beiden Verordnungen haben unterschiedliche Adressaten: Der CRA verpflichtet den Hersteller als Wirtschaftsakteur, die DSGVO den Verantwortlichen und den Auftragsverarbeiter. Wer ein Produkt liefert, ist für die Daten, die ein Betreiber damit verarbeitet, in aller Regel nicht der Verantwortliche. Beitragen sollen die grundlegenden Cybersicherheitsanforderungen nach demselben Erwägungsgrund trotzdem: zum Schutz personenbezogener Daten und der Privatsphäre natürlicher Personen.

Praktisch folgenreich ist Artikel 52 Absatz 7. Die Marktüberwachungsbehörden arbeiten gegebenenfalls mit den Behörden zusammen, die das Datenschutzrecht der Union beaufsichtigen. Diese Behörden dürfen alle im Rahmen des CRA erstellten oder geführten Unterlagen anfordern und einsehen, soweit sie sie für ihre Aufgaben benötigen. Ihre technische Dokumentation ist damit auch für die Datenschutzaufsicht erreichbar.

Zwei Stellen, an denen Datenverarbeitung die Einstufung verschiebt

Artikel 7 Absatz 2 Buchstabe b nennt die Verarbeitung personenbezogener Daten als Beispiel einer zentralen Systemfunktion. Das ist eines der Kriterien, die eine Produktkategorie zu den wichtigen Produkten zählen lassen. Auf die Reihenfolge kommt es an: Maßgeblich ist und bleibt die Liste in Anhang III. Ein Produkt wird nicht schon dadurch wichtig, dass es personenbezogene Daten verarbeitet, denn das Kriterium bindet die Kommission, wenn sie Anhang III nach Artikel 7 Absatz 3 ändert.

Erwägungsgrund 15 betrifft dagegen den Anwendungsbereich. Wird die Verarbeitung personenbezogener Daten zur Bedingung für die Nutzung gemacht, und zwar zu anderen Zwecken als der alleinigen Verbesserung der Sicherheit, Kompatibilität oder Interoperabilität der Software, kann das eine Geschäftstätigkeit kennzeichnen. Für freie und quelloffene Software ist das der entscheidende Hebel: Ein Produkt, das nichts kostet, kann über sein Datenmodell trotzdem in den Anwendungsbereich des CRA geraten.