Cyber Resilience Act – Impulse für Datenschutzcompliance aus dem IT-Sicherheitsrecht

Normadressaten des Privacy-by-Design- und des Privacy-by-Default-Grundsatzes nach Art. 25 DSGVO sind die datenschutzrechtlich Verantwortlichen – gerade nicht die Hersteller von Produkten. Das stellt Verantwortliche in der Praxis häufig vor Herausforderungen und verursacht Konfigurations- und Anpassungsaufwand. Zukünftig können sie sich hierbei mehr Unterstützung erhoffen. Mit dem Cyber Resilience Act (CRA) werden Hersteller von vernetzten Produkten umfangreich zur Implementierung von IT-Sicherheitsmaßnahmen verpflichtet. Zwar hätte der Gesetzgeber die dadurch entstehenden Schnittstellen zur DSGVO expliziter adressieren können. Dennoch ergeben sich aus dem Rechtsakt sinnvolle Impulse für die Datenschutzcompliance. Der Beitrag beruht auf der Dissertation des Verfassers.