Fernverarbeitung
Die App zur Maschine, der Lizenzserver, das Backend für die Fernwartung: Was auf dem Server des Herstellers läuft, kann rechtlich zum Produkt gehören. Entscheidend sind drei Kriterien.
Fernverarbeitung (Datenfernverarbeitung, Remote Data Processing) ist Datenverarbeitung, die außerhalb des Produkts stattfindet, deren Software der Hersteller selbst oder unter seiner Verantwortung entwickelt hat und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte. Sie ist Teil des Produkts mit digitalen Elementen.
Definition in der Verordnung
Artikel 3 Nummer 2 definiert die Datenfernverarbeitung als entfernt stattfindende Datenverarbeitung, für die eine Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte. Artikel 3 Nummer 1 nimmt diese Lösungen ausdrücklich in den Produktbegriff auf. Erwägungsgrund 11 beschränkt das auf die Verarbeitung, die für die Produktfunktion notwendig ist, etwa eine API oder Datenbank, die eine App über einen Herstellerdienst erreicht. Erwägungsgrund 12 nennt als erfasstes Beispiel die Cloud-Funktion zur Fernsteuerung eines Smart-Home-Geräts und als nicht erfasst Websites ohne Produktfunktion sowie Cloud-Dienste außerhalb der Verantwortung des Herstellers. Reine SaaS-, PaaS- und IaaS-Angebote fallen unter NIS2.
Was das für Hersteller bedeutet
Laut Kommissionsleitlinie müssen drei Kriterien zusammen vorliegen: Die Verarbeitung findet entfernt statt, ohne sie fällt mindestens eine Produktfunktion aus, und die Software stammt vom Hersteller. Wer die Server betreibt, ist unerheblich; Herstellersoftware auf einer fremden Cloud-Infrastruktur ist Fernverarbeitung. Ein integrierter Dienst eines Dritten ist dagegen keine Fernverarbeitung, sondern eine Komponente, für die die Sorgfaltspflicht nach Artikel 13 Absatz 5 gilt. Erfasst sind nur die Module, mit denen das Produkt direkt zusammenarbeitet, nicht nachgelagerte Systeme wie CRM oder Build-Server. Beispiel: Das Backend, ohne das die Fernüberwachung einer Maschine nicht funktioniert, gehört zum Produkt und damit zu Anhang I, zur Risikobewertung und zur Meldepflicht. Ein Kundenportal für Dokumentation und Bestellungen gehört nicht dazu.
Verwandte Begriffe
- Produkt mit digitalen Elementen
- NIS2 (Richtlinie (EU) 2022/2555)
- Sorgfaltspflicht für Drittkomponenten
- Leitlinien der Kommission