Ein Sprachassistent, der mitschreibt. Eine Türklingel, die Gesichter speichert. Ein Thermostat, der Bewegungsmuster auswertet. Smart-Home-Geräte sind längst in Millionen deutscher Haushalte angekommen, und mit ihnen eine Datenmenge, die kaum jemand überblickt. Laut einer Erhebung des Statistischen Bundesamts nutzen inzwischen rund 40 Prozent aller Haushalte in Deutschland mindestens ein vernetztes Gerät. Was dabei mit den anfallenden Daten passiert, steht selten in der Bedienungsanleitung.
Was Smart-Home-Geräte tatsächlich erfassen
Die Datenerhebung beginnt bei der Installation. Schon beim Einrichten eines smarten Lautsprechers werden Sprachaufzeichnungen an Unternehmensserver übertragen, oft ohne dass der Nutzer genau weiß, wie lange diese gespeichert bleiben. Smarte Steckdosen protokollieren Nutzungszeiten und lassen Rückschlüsse auf Tagesabläufe zu. Türklingelkameras mit Gesichtserkennung speichern biometrische Daten, die unter der DSGVO als besondere Kategorie personenbezogener Daten gelten und einem erhöhten Schutzniveau unterliegen.
Besonders kritisch: Viele Hersteller sitzen außerhalb der EU, etwa in den USA oder China. Für Datenübermittlungen in diese Länder gelten seit dem Schrems-II-Urteil des Europäischen Gerichtshofs verschärfte Anforderungen. Trotzdem landen Nutzerdaten regelmäßig auf Servern, die nicht dem europäischen Datenschutzstandard entsprechen. Das ist kein Verdacht, sondern dokumentierte Praxis, die Aufsichtsbehörden in mehreren EU-Ländern beschäftigt.
DSGVO und Cyber Resilience Act: Der rechtliche Rahmen 2026
Seit Mai 2018 gilt die Datenschutz-Grundverordnung europaweit, und ihre Kernrechte gelten selbstverständlich auch für Smart-Home-Produkte. Wer ein vernetztes Gerät kauft und betreibt, ist als betroffene Person berechtigt, Auskunft über gespeicherte Daten zu verlangen, deren Löschung zu beantragen und einer Verarbeitung zu widersprechen. Diese Rechte sind in § 34 BDSG und in den entsprechenden DSGVO-Artikeln festgeschrieben, werden aber von Verbrauchern erschreckend selten genutzt.
Neu hinzugekommen ist der Cyber Resilience Act der EU, der ab 2026 schrittweise greift. Er verpflichtet Hersteller vernetzter Produkte zu Sicherheitsupdates über den gesamten Produktlebenszyklus und zu transparenten Angaben über bekannte Schwachstellen. Konkret bedeutet das: Ein smarter Türschlossanbieter, der nach 24 Monaten keine Sicherheitspatches mehr liefert, verstößt künftig gegen EU-Recht. Für Verbraucher entsteht damit erstmals ein einklagbarer Anspruch auf Produktsicherheit auch nach dem Kauf.
Wo Nutzer ihre Rechte geltend machen können
Viele Betroffene wissen gar nicht, an welche Stelle sie sich wenden sollen, wenn ein Hersteller ihre Auskunftsanfrage ignoriert oder Daten nicht löscht. Der erste Ansprechpartner ist die zuständige Datenschutzbehörde des jeweiligen Bundeslandes. Diese kann Bußgeldverfahren einleiten und hat gegenüber Unternehmen echte Durchsetzungsbefugnisse. Ergänzend bieten spezialisierte Portale einen guten Einstieg, um Rechte zu verstehen und einzuordnen, so erklärt etwa Rechte leicht erklärt verständlich, welche Ansprüche Verbraucher in datenschutzrechtlichen Situationen konkret haben.
Wer eine formelle Beschwerde einreichen will, sollte vorher den Schriftverkehr mit dem Hersteller dokumentieren. Eine Auskunftsanfrage nach Art. 15 DSGVO muss innerhalb von 30 Tagen beantwortet werden. Passiert das nicht, ist das bereits ein meldepflichtiger Verstoß. Sammelklagen im Datenschutzrecht sind in Deutschland seit 2023 einfacher geworden, nachdem Verbraucherschutzverbände das Klagerecht ausdrücklich erhalten haben.
Praktische Risiken im Alltag
Ein Beispiel aus der Praxis: Wer eine smarte Babyüberwachungskamera eines No-Name-Herstellers kauft, riskiert unter Umständen, dass der Videostream über schlecht gesicherte Server läuft. Sicherheitsforscher haben mehrfach belegt, dass günstige IoT-Kameras mit Standardpasswörtern ausgeliefert werden, die nie geändert werden. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt deshalb explizit, Standardpasswörter sofort zu ändern, Firmware regelmäßig zu aktualisieren und Geräte in einem separaten Heimnetzwerk zu betreiben.
Ein weiteres Risiko betrifft die sogenannte Datenweitergabe an Dritte. Viele Hersteller räumen sich in ihren AGBs das Recht ein, Nutzungsdaten an Werbepartner weiterzugeben. Das ist legal, sofern eine wirksame Einwilligung vorliegt, was bei vorausgefüllten Opt-in-Feldern oft zweifelhaft ist. Wer das nicht möchte, sollte die Datenschutzeinstellungen der jeweiligen App aktiv prüfen und nicht nur die Standardkonfiguration übernehmen.
Checkliste: So schützen Sie sich als Nutzer
- Auskunftsanfrage stellen: Fordern Sie beim Hersteller schriftlich alle gespeicherten Daten an. Die Antwort ist kostenlos und muss innerhalb von 30 Tagen kommen.
- Datenschutzerklärung lesen: Besonders den Abschnitt zur Datenweitergabe an Dritte und zur Serverstandort-Frage.
- Netzwerksegmentierung nutzen: IoT-Geräte in ein separates WLAN-Gastnetzwerk einbinden, damit sie keinen Zugriff auf Computer oder Smartphones haben.
- Firmware aktuell halten: Automatische Updates aktivieren, wenn der Hersteller diese Option anbietet.
- Geräte ohne Updateversprechen meiden: Produkte, für die der Hersteller keine Update-Zusage macht, stellen langfristig ein Sicherheitsrisiko dar.
- Beschwerde einreichen: Bei ausbleibendem Auskunft nutzen Sie das Online-Beschwerdeformular der zuständigen Landesdatenschutzbehörde.
Was sich 2026 konkret ändert
Der Cyber Resilience Act bringt ab Herbst 2026 verbindliche Kennzeichnungspflichten. Hersteller müssen sichtbar angeben, bis wann ein Gerät Sicherheitsupdates erhält. Das schafft Vergleichbarkeit beim Kauf, ähnlich wie die Energieeffizienzklasse bei Haushaltsgeräten. Parallel dazu haben mehrere EU-Mitgliedstaaten angekündigt, die Durchsetzung der DSGVO gegenüber Hardware-Herstellern zu intensivieren. Irland, traditionell zuständig für viele US-Konzerne, steht dabei unter besonderem Druck, mehr als symbolische Bußgelder zu verhängen.
Für Verbraucher bedeutet das: Der Rechtsrahmen wird besser, aber er schützt nur, wer ihn aktiv nutzt. Wer seine Rechte kennt und im Zweifelsfall auch einfordert, ist erheblich besser gestellt als jemand, der schlicht darauf vertraut, dass Hersteller es schon richtig machen. Das Vertrauen war in der Vergangenheit oft nicht gerechtfertigt, und es gibt keinen Grund anzunehmen, dass sich das ohne Gegendruck ändert.
