Smart Home-Hubs, Sensoren und Beleuchtung

• Directive 2014/53/EU — Radio Equipment
• Delegated Regulation (EU) 2022/30 — cybersecurity
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2016/679 — GDPR
• Directive 2012/19/EU — WEEE

Wer muss benennen

Hersteller außerhalb der Union, die Smart-Home-Geräte auf dem EU-Markt platzieren. Präsenzsensoren, Thermostate und sprachgesteuerte Hubs generieren Daten darüber, wann Menschen zu Hause sind und was sie dort tun, was personenbezogene Daten sind, auch wenn keine Kamera beteiligt ist.

Schwellen und Ausnahmen

Keine. Die Cybersicherheitsanforderungen gemäß der delegierten Verordnung gelten allgemein für internetverbundene Funkgeräte, und die CRA wird ab Dezember 2027 für die gesamte Kategorie gelten.

Was auf das Etikett gehört

CE-Kennzeichnung, Hersteller- und EU-Vertreterdetails, Modell- und Seriennummer, Funkparameter, WEEE-Symbol, Batteriekennzeichnungen, wo vorhanden, und ab Dezember 2027 der Unterstützungszeitraum und der Kontaktpunkt für Schwachstellen.

Marktplatz-Felder

Marktplätze verlangen die EU-verantwortliche Person und erwarten seit August 2025, dass die Cybersicherheitsanforderungen erfüllt werden. Geräte mit Standardpasswörtern oder nicht authentifizierten lokalen APIs wurden öffentlich kritisiert und von der Liste gestrichen.

Unterlagen, die Sie vorhalten müssen

EU-Konformitätserklärung, technische Unterlagen, Funk- und Sicherheitsprüfberichte, EN 18031 Cybersicherheitsdokumentation und ab 2026 der CRA-Schwachstellenbehandlungsprozess und SBOM. Auf der Datenseite das Artikel 30-Protokoll, die Artikel 27-Bezeichnung, Aufbewahrungsregeln für Ereignisprotokolle und der Übertragungsmechanismus.

Normen und Prüfungen

Funk- und EMV-Prüfung gemäß den geltenden harmonisierten Normen, EN IEC 62368-1 für Sicherheit, EN 18031 für die Cybersicherheitsanforderungen und IEC 62133 für Batterien in Sensoren.

Sprachanforderungen

Anleitungen und Warnungen in der Landessprache sowie Datenschutzinformationen in der Sprache der Nutzer.

Ab wann es gilt

Produktdokumentation vor der Markteinführung, Cybersicherheitsanforderungen seit August 2025, CRA-Berichterstattung ab September 2026 und vollständige CRA ab Dezember 2027.

Aufbewahrungsfristen

Zehn Jahre für technische Dokumentation oder den Unterstützungszeitraum, wenn dieser länger ist. Ereignisprotokolle sollten eine definierte Aufbewahrung haben, anstatt unbegrenzt anzusammeln.

Was bei Verstößen passiert

Rücknahme und Marktplatzentfernung auf der Produktseite sowie Datenschutzstrafen auf der Dienstleistungsseite. Ein Hub, der nicht mehr funktioniert, wenn der Anbieter die Cloud einstellt, wirft auch Fragen des Verbraucherrechts zur Konformität des digitalen Elements auf.

Wer kontrolliert

Marktüberwachungsbehörden und Funkregulierungsbehörden, CSIRTs für CRA-Berichterstattung und Datenschutzbehörden.

Wo die Grenze verläuft

Die Erklärung des Unterstützungszeitraums gemäß der CRA hat hier kommerzielle Konsequenzen: Viele Smart-Home-Produkte wurden von ihren Anbietern innerhalb weniger Jahre aufgegeben, und ab 2027 wird der versprochene Zeitraum zu einer rechtlichen Erklärung anstelle einer Marketingaussage.

Häufige Fragen

Sind Präsenzdaten personenbezogene Daten?

Ja. Aufzeichnungen darüber, wann ein Zuhause bewohnt ist, identifizieren die dort lebenden Personen, und die Behörden behandeln sie entsprechend.

Was passiert, wenn wir den Cloud-Service einstellen?

Gemäß der Richtlinie über digitale Inhalte kann ein Produkt, das die versprochene Funktionalität nicht mehr liefert, nicht konform sein, was den Verbrauchern Rechtsmittel gibt, zusätzlich zu den Verpflichtungen des CRA-Unterstützungszeitraums.