Start › IoT-Recht
Vernetzte Produkte bringen Hardware, Software, Daten und Dienste in einem Geschäftsmodell zusammen. Entsprechend viele Regelwerke greifen gleichzeitig. Wir beraten Hersteller, Händler, Plattformbetreiber und Anwender von IoT-Lösungen in Industrie, Gebäudetechnik, Mobilität, Medizintechnik und Smart Home.
Welche Gesetze für vernetzte Produkte gelten
| Regelwerk | Kern für IoT | ab wann |
|---|---|---|
| Data Act, VO (EU) 2023/2854 | Datenzugangsrechte der Nutzer, Datenlizenz des Herstellers, „Access by Design“ | seit 12.9.2025; Design-Pflicht für neue Produkte seit 12.9.2026 |
| Cyber Resilience Act, VO (EU) 2024/2847 | Cybersicherheit über den Lebenszyklus, Sicherheitsupdates, CE-Kennzeichnung | Meldepflichten seit 11.9.2026, volle Geltung ab 11.12.2027 |
| Funkanlagenrichtlinie, delegierte VO (EU) 2022/30 | Cybersicherheitsanforderungen an funkfähige Geräte | seit 1.8.2025 |
| Neue Produkthaftungsrichtlinie (EU) 2024/2853 und neues ProdHaftG | Software und digitale Dienste als Produkt; Haftung für fehlende Sicherheitsupdates | für Produkte, die ab 9.12.2026 in Verkehr gebracht werden |
| KI-Verordnung | Pflichten für KI-Systeme, insbesondere in Sicherheitsbauteilen | Hochrisiko-Pflichten für Produkte nach Anhang I ab 2.8.2028 |
| DSGVO und § 25 TDDDG | Personenbezogene Gerätedaten, Zugriff auf Endgeräte | gilt |
| §§ 327 ff., 475b BGB | Aktualisierungspflicht bei Waren mit digitalen Elementen gegenüber Verbrauchern | gilt |
Daten aus IoT-Geräten: wem gehören sie?
Ein Eigentum an Daten kennt das deutsche Recht nicht. Der Data Act regelt aber, wer Daten aus vernetzten Produkten nutzen darf. Der Nutzer kann die Herausgabe der Produkt- und Dienstdaten an sich oder an einen Dritten verlangen. Der Hersteller darf nicht-personenbezogene Daten selbst nur auf Grundlage eines Vertrags mit dem Nutzer verwenden. Wer Nutzungsdaten bisher ohne ausdrückliche Vereinbarung für Produktentwicklung oder Wartungsdienste auswertet, sollte seine Verträge anpassen. Details finden Sie auf unserer Seite zum Data Act.
Cybersicherheit und Updatepflichten
Der Cyber Resilience Act verlangt von Herstellern, Produkte mit digitalen Elementen nach dem Stand der Technik abzusichern, Schwachstellen über einen Unterstützungszeitraum von in der Regel mindestens fünf Jahren zu beheben und aktiv ausgenutzte Schwachstellen sowie schwerwiegende Vorfälle zu melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden. Im Verbrauchervertrag kommt die Aktualisierungspflicht des Verkäufers nach § 475b BGB hinzu. Und nach neuem Produkthaftungsrecht kann ein fehlendes Sicherheitsupdate einen Produktfehler begründen.
IoT-Verträge richtig gestalten
- Liefer- und Kaufverträge: Unterstützungszeitraum, Updates, Haftung für Sicherheitslücken, Rückgriff in der Lieferkette.
- Plattform- und SaaS-Verträge für die Gerätesteuerung: Verfügbarkeit, Service Level, Datenexport und Wechsel des Anbieters.
- Datenlizenzen nach dem Data Act und Regeln zum Schutz von Geschäftsgeheimnissen.
- Komponenten- und Softwarelizenzen, einschließlich Open-Source-Bestandteilen in der Firmware.
- Auftragsverarbeitung, wenn personenbezogene Daten über die Cloud des Herstellers laufen.
Unser Mustervertrag IoT zeigt die typische Struktur; für den Einsatz passen wir ihn an Produkt und Geschäftsmodell an.
Produkthaftung für vernetzte Geräte
Das neue Produkthaftungsgesetz setzt die Richtlinie (EU) 2024/2853 um und gilt für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht werden. Software ist dann ausdrücklich ein Produkt, auch wenn sie nur als Download oder Dienst bereitgestellt wird. Hersteller bleiben für Fehler verantwortlich, die durch Updates oder durch deren Ausbleiben entstehen, solange sie die Kontrolle über das Produkt behalten. Gerichte können die Offenlegung von Beweismitteln anordnen, und bei technischer Komplexität wird die Beweisführung für Geschädigte erleichtert.
So unterstützen wir IoT-Unternehmen
- Regulatorische Landkarte für Ihr Produkt: Welche Pflichten gelten ab wann, und wer in der Lieferkette trägt sie?
- Prozesse für Datenzugangsanfragen, Schwachstellenmanagement und Meldungen.
- Vertragsgestaltung mit Kunden, Zulieferern und Plattformpartnern.
- Vertretung in Streitfällen, etwa bei Ausfällen, Sicherheitsvorfällen oder Datenzugangsstreitigkeiten.
Unser Team verbindet juristische mit technischer Ausbildung, darunter ein Diplom-Ingenieur der Elektrotechnik und ein Physiker. Das hilft, wenn es um Architektur, Schnittstellen und Firmware geht.
Häufige Fragen zum IoT-Recht
Gilt der Cyber Resilience Act auch für Geräte, die schon im Handel sind?
Die Kernpflichten gelten für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten seit dem 11. September 2026 auch für bereits vertriebene Produkte.
Wie lange müssen wir Sicherheitsupdates liefern?
Nach dem CRA für den Unterstützungszeitraum, der die erwartete Nutzungsdauer widerspiegeln soll und in der Regel mindestens fünf Jahre beträgt. Gegenüber Verbrauchern kann sich aus § 475b BGB ein eigener Zeitraum ergeben.
Dürfen wir Gerätedaten für eigene Zwecke nutzen?
Nicht-personenbezogene Daten nur auf Grundlage einer Vereinbarung mit dem Nutzer nach dem Data Act, personenbezogene Daten nur mit Rechtsgrundlage nach der DSGVO. Für den Zugriff auf das Endgerät gilt zusätzlich § 25 TDDDG.
Verwandte Themen
Ihr Ansprechpartner
Sie entwickeln oder vertreiben vernetzte Produkte und wollen wissen, welche Pflichten auf Sie zukommen? Rufen Sie uns an unter 0511 35 73 56-0 oder schreiben Sie an info@itrechtler.de.