Smart Locks, Zugangskontrolle und Alarme

• Directive 2014/53/EU — Radio Equipment
• Delegated Regulation (EU) 2022/30 — cybersecurity
• Regulation (EU) 2024/2847 — CRA
• Regulation (EU) 2016/679 — GDPR
• Regulation (EU) 2023/988 — GPSR for the mechanical parts

Wer muss benennen

Hersteller außerhalb der Union, die vernetzte Schlösser, Alarme und Zugangskontrollen auf dem EU-Markt anbieten. Zugangsprotokolle identifizieren, wer eingetreten ist und wann, was personenbezogene Daten sind, und Video-Türsprechanlagen verarbeiten Bilder, sodass die Datenpflichten ebenso erheblich sind wie die Produktpflichten.

Schwellen und Ausnahmen

Keine. Sowohl die Produkt- als auch die Datenpflichten gelten ab der ersten Einheit, die an einen EU-Nutzer verkauft wird.

Was auf das Etikett gehört

CE-Kennzeichnung, Hersteller- und EU-Vertreterdetails, Modell- und Seriennummer, Funkparameter, Batteriemarkierungen und ab Dezember 2027 der Unterstützungszeitraum gemäß CRA und der Kontaktpunkt für Schwachstellen. Die Datenschutzerklärung muss den Artikel 27 Vertreter benennen.

Marktplatz-Felder

Marktplätze erfordern die EU-verantwortliche Person und seit August 2025 den Nachweis, dass die Anforderungen an die Cybersicherheit erfüllt sind. Schlösser mit schwachen Standardanmeldeinformationen oder unverschlüsseltem Bluetooth-Pairing wurden öffentlich gehackt und aus der Liste entfernt.

Unterlagen, die Sie vorhalten müssen

EU-Konformitätserklärung, technische Unterlagen, Funk- und Sicherheitsprüfberichte, EN 18031-Dokumentation zur Cybersicherheit und ab 2026 den Prozess zur Behandlung von Schwachstellen gemäß CRA und SBOM. Auf der Datenseite das Artikel 30-Protokoll, die Artikel 27-Bezeichnung, Aufbewahrungsregeln für Zugangsprotokolle und Videos sowie der Übertragungsmechanismus.

Normen und Prüfungen

Funk- und EMV-Prüfung, EN 18031 für die Anforderungen an die Cybersicherheit, mechanische Sicherheitsprüfungen gemäß EN 1303 oder EN 12209 für das Schloss selbst und Batterietests. Penetrationstests sind der praktische Nachweis für die Sicherheitsanforderungen.

Sprachanforderungen

Anleitungen und Warnungen in der Landessprache sowie Datenschutzinformationen in der Sprache der Nutzer.

Ab wann es gilt

Produktdokumentation vor der Markteinführung, Anforderungen an die Cybersicherheit gelten seit August 2025, CRA-Berichterstattung ab September 2026 und der DSGVO-Vertreter vor der Verarbeitung von Daten der EU-Nutzer.

Aufbewahrungsfristen

Zehn Jahre für technische Dokumentation oder den Unterstützungszeitraum, wenn dieser länger ist. Zugangsprotokolle und Videos nur so lange wie nötig, mit einer definierten Aufbewahrungsfrist anstelle einer unbegrenzten Standardfrist.

Was bei Verstößen passiert

Rückruf des Produkts und Entfernung vom Marktplatz sowie separat Bußgelder für den Datenschutz von bis zu 20 Millionen € oder 4 %. Ein Schloss, das bei einem Firmware-Fehler offen bleibt, oder ein Cloud-Verstoß, der Zugangsprotokolle offenlegt, betrifft beide Regime gleichzeitig.

Wer kontrolliert

Marktüberwachungsbehörden und Funkregulierungsbehörden, CSIRTs für CRA-Berichterstattung und Datenschutzbehörden.

Wo die Grenze verläuft

Mechanische Sicherheitsbewertungen und Cybersicherheit sind getrennt: Ein Schloss kann eine hohe mechanische Bewertung haben und dennoch über Bluetooth trivial umgangen werden. Versicherer fragen zunehmend nach beidem, und die CRA wird die Softwareseite zu einer gesetzlichen Anforderung machen, anstatt zu einer Markterwartung.

Häufige Fragen

Sind Zugangsprotokolle personenbezogene Daten?

Ja. Sie zeichnen auf, wer eingetreten ist und wann, was Einzelpersonen identifiziert, und die Aufbewahrung muss begrenzt und gerechtfertigt sein.

Was passiert, wenn unsere Cloud ausfällt?

Entwerfen Sie dafür: Ein Schloss, das ohne die Cloud nicht geöffnet werden kann, wirft Sicherheitsfragen auf, und die Behörden haben Designs kritisiert, bei denen der Nutzer den Zugang zu seinem eigenen Zuhause verliert.