Sicherheitskameras, Video-Türklingeln und Babyphone

• Directive 2014/53/EU — Radio Equipment
• Delegated Regulation (EU) 2022/30 — cybersecurity
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2016/679 — GDPR, Articles 27 and 5

Wer muss benennen

Hersteller außerhalb der Union, die vernetzte Kameras an EU-Nutzer verkaufen. Zwei Verpflichtungen ergeben sich zusammen: das auf den Markt gebrachte Produkt und die personenbezogenen Daten, die über die Cloud des Anbieters verarbeitet werden, was für eine Kamera Bilder von identifizierbaren Personen und oft auch Audio umfasst.

Schwellen und Ausnahmen

Keine Schwelle für beide. Bereits eine einzige Kamera, die an einen Verbraucher verkauft wird, löst die Produktverpflichtungen aus, und jede Cloud-Speicherung von Aufnahmen von EU-Nutzern löst Artikel 3(2) DSGVO aus.

Was auf das Etikett gehört

CE-Kennzeichnung, Angaben zum Hersteller und EU-Vertreter, Modell- und Seriennummer, Frequenzbänder und übertragene Leistung, das WEEE-Symbol und ab Dezember 2027 der CRA-Unterstützungszeitraum sowie der Kontaktpunkt für Schwachstellen. In der App und der Datenschutzerklärung die Identität und Kontaktdaten des Artikel 27 Vertreters.

Marktplatz-Felder

Marktplätze verlangen die EU-verantwortliche Person und die Konformitätserklärung auf Aufforderung. Kameras mit fest codierten Standardpasswörtern oder unverschlüsselten Streams wurden nach koordinierten Durchsetzungsmaßnahmen entfernt, und die RED-Cybersicherheitsanforderungen seit August 2025 haben die Anforderungen weiter erhöht.

Unterlagen, die Sie vorhalten müssen

EU-Konformitätserklärung, technische Unterlagen, Prüfberichte für Funk und Sicherheit, Cybersicherheitsdokumentation gemäß EN 18031 und ab 2026 der CRA-Prozess zur Behandlung von Schwachstellen und SBOM. Auf der Datenseite: das Artikel 30 Protokoll, die Artikel 27 Benennung, eine Datenschutz-Folgenabschätzung, Aufbewahrungsregeln für Aufnahmen und der Übertragungsmechanismus, wenn Aufzeichnungen die Union verlassen.

Normen und Prüfungen

EN 300 328 und verwandte Funkstandards, EN IEC 62368-1 für Sicherheit, EN 55032 und EN 55035 für EMV sowie EN 18031 für die Anforderungen an Netzwerkschutz, Datenschutz und Betrugsprävention. Penetrationstests sind nicht obligatorisch, aber der praktische Weg, um die Cybersicherheitsanforderungen nachzuweisen.

Sprachanforderungen

Anleitungen und Warnungen in der Landessprache sowie die Datenschutzinformationen in der Sprache der betroffenen Nutzer.

Ab wann es gilt

Produktdokumentation vor dem Inverkehrbringen. Cybersicherheitsanforderungen gelten seit dem 1. August 2025. CRA-Schwachstellenberichterstattung ab dem 11. September 2026, vollständige CRA ab dem 11. Dezember 2027. Der DSGVO-Vertreter, bevor die Aufnahmen der EU-Nutzer verarbeitet werden.

Aufbewahrungsfristen

Zehn Jahre für technische Dokumentation oder den CRA-Unterstützungszeitraum, wenn dieser länger ist. Aufnahmen dürfen nicht länger als notwendig aufbewahrt werden, und eine unbegrenzte Standardaufbewahrung stellt selbst einen Verstoß dar.

Was bei Verstößen passiert

Auf der Produktseite Rückruf, Zollverweigerung und Entfernung vom Marktplatz. Auf der Datenseite bis zu 20 Millionen € oder 4 % des Umsatzes, und Datenschutzbehörden haben Kamerahändler wegen unsicherer Streams, übermäßiger Aufbewahrung und standardmäßiger Cloud-Uploads bestraft. Ein Verstoß, der Aufnahmen offenbart, löst die Benachrichtigung gemäß Artikel 33 innerhalb von 72 Stunden aus.

Wer kontrolliert

Marktüberwachungsbehörden und Funkregulierungsbehörden für das Gerät, CSIRTs für CRA-Berichterstattung und Datenschutzbehörden für die Aufnahmen.

Wo die Grenze verläuft

Babyphone und Türklingeln werfen ein zusätzliches Problem auf, das der Anbieter nicht kontrollieren kann, aber berücksichtigen muss: die eigene Verarbeitung von Bildern von Nachbarn und Besuchern durch den Nutzer, was die Behörden durch Leitlinien zur Nutzung von Kameras im privaten Bereich angesprochen haben. Anbieter, die standardmäßig auf Cloud-Uploads setzen oder lokale Speicherung unmöglich machen, wurden genau deshalb kritisiert, weil die Designentscheidung die Fähigkeit des Nutzers zur Einhaltung der Vorschriften einschränkt.

Häufige Fragen

Brauchen wir sowohl einen Artikel 4 Betreiber als auch einen DSGVO-Vertreter?

Für eine vernetzte Kamera, ja. Der eine deckt das auf den Markt gebrachte Gerät ab, der andere die Verarbeitung von Aufnahmen von Personen in der Union.

Was hat sich für Kameras im August 2025 geändert?

Die delegierte Verordnung zur RED machte Netzwerkschutz, Datenschutz und Betrugsprävention zu wesentlichen Anforderungen. Standardpasswörter und unverschlüsselte Streams bestehen nicht mehr.