CRA macht IT-Hersteller verantwortlich, DSGVO nicht Hersteller haften für IT-Sicherheit, aber nicht für Datenschutz

Anbieter zum Thema

FTAPI Software GmbH

Kommt es zu einem IT-Vorfall, stellt sich schnell die Frage nach Verantwortung und Haftung. Als Anwenderunternehmen sieht man oftmals auch den Hersteller einer IT-Lösung in der Rolle des Verantwortlichen. Doch was sagen eigentlich die rechtlichen Vorgaben, zum Beispiel aus Cyber Resilience Act oder Datenschutz-Grundverordnung? Wir geben einen Überblick.

Wie schön wäre es, wenn Privacy by Design und Security by Design nicht nur eine rechtliche Forderung wären, sondern auch Teil der gelebten Praxis im IT-Alltag. Die Wirklichkeit aber sieht so aus, dass so manches IT-Produkt bereits mit offenen, schon lange bekannten Sicherheitslücken ausgeliefert wird. Nicht nur die IT-Sicherheit ist oftmals noch zu wenig Teil der Produktentwicklung, auch im Datenschutz sucht man nach eingebauter Privacy häufig noch vergebens.

Dabei findet man in der Datenschutz-Grundverordnung (DSGVO) explizit einen Artikel, der „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ einfordert. Aber man muss genau hinschauen: Die DSGVO richtet ihre Forderungen an den Verantwortlichen, das ist aber nicht etwa der Hersteller, sondern in aller Regel des Anwenderunternehmen selbst.