Fernverarbeitung
Die App zur Maschine, der Lizenzserver, das Backend für die Fernwartung: Was auf dem Server des Herstellers läuft, kann rechtlich zum Produkt gehören. Entscheidend sind drei Kriterien.
Fernverarbeitung (Datenfernverarbeitung, Remote Data Processing) ist Datenverarbeitung, die außerhalb des Produkts stattfindet, deren Software der Hersteller selbst oder unter seiner Verantwortung entwickelt hat und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte. Sie ist Teil des Produkts mit digitalen Elementen.
Definition in der Verordnung
Artikel 3 Nummer 2 definiert die Datenfernverarbeitung als entfernt stattfindende Datenverarbeitung, für die eine Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte. Artikel 3 Nummer 1 nimmt diese Lösungen ausdrücklich in den Produktbegriff auf. Erwägungsgrund 11 beschränkt das auf die Verarbeitung, die für die Produktfunktion notwendig ist, etwa eine API oder Datenbank, die eine App über einen Herstellerdienst erreicht. Erwägungsgrund 12 nennt als erfasstes Beispiel die Cloud-Funktion zur Fernsteuerung eines Smart-Home-Geräts und als nicht erfasst Websites ohne Produktfunktion sowie Cloud-Dienste außerhalb der Verantwortung des Herstellers. Für reine SaaS-, PaaS- und IaaS-Angebote verweist Erwägungsgrund 12 auf die NIS2-Richtlinie.
Was das für Hersteller bedeutet
Laut Kommissionsleitlinie C(2026) 5252 (Randnummer 188) entscheiden bei entfernt stattfindender Verarbeitung zwei Fragen zusammen: Fällt ohne sie mindestens eine Produktfunktion aus, und wurde die Software vom Hersteller oder unter seiner Verantwortung entwickelt? Wer die Server betreibt, ist unerheblich (Randnummer 196); Herstellersoftware auf einer fremden Cloud-Infrastruktur ist Fernverarbeitung. Ein integrierter Dienst eines Dritten ist dagegen keine Fernverarbeitung, sondern wie eine Komponente zu behandeln (Randnummern 200 und 201), für die die Sorgfaltspflicht nach Artikel 13 Absatz 5 gilt. Erfasst sind nur die Module, mit denen das Produkt direkt zusammenarbeitet, nicht nachgelagerte Systeme wie CRM oder Build-Server. Beispiel: Das Backend, ohne das die Fernüberwachung einer Maschine nicht funktioniert, gehört zum Produkt und damit zu Anhang I, zur Risikobewertung und zur Meldepflicht. Ein Kundenportal für Dokumentation und Bestellungen gehört nicht dazu.
Kostenlose VorlagenCRA-Meldepflicht-KitMelde-Playbook, Kenntnisvermerk, Meldevorlagen für die ENISA-Plattform, Rufkette und Fristenrechner. Sechs Word-Vorlagen, zwei Excel-Mappen und ein Handbuch, kostenlos per E-Mail.Kit anfordernVerwandte Begriffe
- Produkt mit digitalen Elementen
- NIS2 (Richtlinie (EU) 2022/2555)
- Sorgfaltspflicht für Drittkomponenten
- Leitlinien der Kommission