Die Produktsicherheitsverordnung (GPSR) gilt seit dem 13. Dezember 2024 für Verbraucherprodukte in der EU, aber bei digitalen und vernetzten Produkten wird die Rechtslage schnell unübersichtlich. Reine Software fällt normalerweise nicht unter die GPSR, ein smarter Lautsprecher mit eingebetteter Software dagegen schon, und bei vernetzten Geräten kann zusätzlich der Cyber Resilience Act ins Spiel kommen. Dieser Leitfaden erklärt, wo die Grenze verläuft, was für IoT-Produkte, Software-Updates und Shopify-Händler mit Drittland-Sourcing konkret gilt, und wie du dein Produkt richtig einordnest.
Was bedeutet “digitale Produkte” im Kontext der GPSR?
Drei Produktklassen entscheiden darüber, wie die Produktsicherheitsverordnung digitale und vernetzte Produkte behandelt, auch wenn der Verordnungstext selbst diese Begriffe nicht so verwendet. Rein digitale Inhalte sind Daten ohne physischen Träger: eine App, ein E-Book, eine Software-Lizenz zum Download. Eingebettete Software ist etwas anderes. Sie ist Code, der Teil eines physischen Produkts ist und dessen Funktion steuert, zum Beispiel die Firmware in einer smarten Steckdose. Und dann gibt es vernetzte Produkte mit Cloud-Dienst: physische Geräte, die zusätzlich mit einem Online-Dienst oder einer App kommunizieren, wie ein Fitnesstracker mit Cloud-Auswertung.
Ob die GPSR greift, hängt genau von dieser Unterscheidung ab. Art. 3 Nr. 1 GPSR definiert ein Produkt als “jeden Gegenstand, der für sich allein oder in Verbindung mit anderen Gegenständen entgeltlich oder unentgeltlich, auch im Rahmen der Erbringung einer Dienstleistung, geliefert oder bereitgestellt wird”. Entscheidend ist das Wort “Gegenstand”. Die Verordnung setzt einen körperlichen, greifbaren Träger voraus.
Reine digitale Inhalte erfüllen dieses Merkmal nicht. Sie fallen damit grundsätzlich nicht unter die Verordnung. Bei eingebetteter Software liegt der Fall anders: Sie ist Teil eines Gegenstands und macht das gesamte Produkt GPSR-relevant, weil Software allein kein eigenständiges Rechtsobjekt ist, sondern eine Eigenschaft der Hardware.
Warum diese Unterscheidung für Shopify-Händler wichtig ist
Wer digitale Downloads, Apps oder SaaS-Zugänge verkauft, muss die GPSR-Informationspflichten in der Regel nicht erfüllen. Wer dagegen ein physisches Produkt mit Software, Firmware oder App-Anbindung verkauft, egal ob smarte Steckdose, Bluetooth-Kopfhörer oder App-gesteuerte Küchenwaage, bleibt vollständig in der Pflicht. Für die Praxis heißt das: Nicht die Software entscheidet, sondern ob überhaupt ein körperlicher Gegenstand verkauft wird.
Gilt die GPSR für rein digitale Produkte wie Software oder Apps?
Nein. Reine Software-Downloads und Apps ohne physischen Träger fallen nach überwiegender rechtlicher Einschätzung nicht unter die Verordnung, weil Art. 3 Nr. 1 GPSR einen körperlichen Gegenstand voraussetzt. Audiodateien, E-Books, PDF-Anleitungen oder reine Software-Lizenzen besitzen keine Körperlichkeit im Sinne des Gesetzes.
Diese Lesart stützt sich auf die Entstehungsgeschichte. Frühere Verhandlungsentwürfe sahen vor, “digitale Inhalte” ausdrücklich in den Anwendungsbereich aufzunehmen, doch dieser Vorschlag wurde im Gesetzgebungsverfahren wieder gestrichen. Der europäische Gesetzgeber hat digitale Inhalte damit bewusst außen vor gelassen und stattdessen auf andere Rechtsakte verwiesen, die speziell für digitale Produkte und Cybersicherheit gelten, allen voran den Cyber Resilience Act.
Ganz eindeutig ist die Lage trotzdem nicht, denn die EU-Kommission widerspricht in ihren eigenen FAQ dieser engen Lesart. Dort heißt es, die Verordnung gelte “für alle Arten von Produkten, die physisch oder digital sind (einschließlich Software), sofern sie auf dem EU-Binnenmarkt bereitgestellt oder in Verkehr gebracht werden”. Diese Aussage steht in einem gewissen Spannungsverhältnis zum engeren Verordnungstext und zur Entstehungsgeschichte.
Wichtig: Rechtsprechung zu dieser Frage gibt es bislang nicht, weil die GPSR erst seit Dezember 2024 gilt. Solange Marktüberwachungsbehörden hier keine einheitliche Praxis entwickelt haben, bleibt die Einordnung reiner Software als GPSR-frei die vorsichtigere, aber nicht hundertprozentig risikofreie Position. Wer ausschließlich Software oder digitale Inhalte verkauft, sollte diese Unsicherheit im Blick behalten, auch wenn das praktische Vollzugsrisiko aktuell gering ist.
Für den Zweifelsfall gilt ein einfacher Test: Bekommt der Kunde etwas in die Hand, das er anfassen kann? Wenn ja, ist die GPSR relevant, unabhängig davon, wie viel Software darin steckt. Wenn nein, bewegst du dich außerhalb des klassischen GPSR-Anwendungsbereichs, solltest aber die Cybersicherheitsanforderungen des Cyber Resilience Act prüfen, sobald Software vertrieben wird.
Gilt die GPSR auch für smarte, vernetzte Produkte (IoT)?
Ja. Ein vernetztes Produkt mit eingebetteter Software bleibt ein körperlicher Gegenstand und fällt als Gesamtprodukt unter die Verordnung, selbst wenn ein Großteil des Produktwerts in der Software liegt. Der entscheidende Punkt: Bewertet wird nicht die Software isoliert, sondern das Produkt als Ganzes. Steckt am Ende eine Steckdose, eine Batterie oder ein tragbares Gehäuse dahinter, ist die Körperlichkeit gegeben, und alle Informationspflichten nach Art. 19 GPSR sowie die Risikobewertungspflicht der Hersteller greifen vollständig.
Für Shopify-Händler mit IoT-Sortiment ändert die smarte Funktion also nichts an der grundsätzlichen Pflicht. Sie kommt lediglich als zusätzliche Cybersicherheitsdimension obendrauf. Die folgenden vier Beispiele zeigen, wie die Einordnung in der Praxis aussieht.
Beispiel: Smarter Lautsprecher und smarte Steckdose
Ein smarter Lautsprecher mit WLAN-Anbindung oder eine App-gesteuerte Steckdose sind klassische Elektrogeräte im Sinne der GPSR, unabhängig davon, dass sie zusätzlich Sprachbefehle verarbeiten oder sich per App schalten lassen. Hersteller-Kennzeichnung, Sicherheitshinweise und eine dokumentierte Risikobewertung sind Pflicht, genau wie bei einem klassischen Elektrogerät ohne Netzwerkfunktion.
Beispiel: Fitnesstracker und Wearables
Ein Fitnesstracker, der Vitaldaten per Bluetooth an eine App überträgt, bleibt in erster Linie ein tragbares Elektronikprodukt. Die Trackingfunktion und die Datenübertragung ändern nichts daran, dass ein Armband oder eine Uhr verkauft wird, die am Körper getragen wird. GPSR-Pflichtangaben und Sicherheitshinweise, etwa zu Akkubetrieb oder Hautkontakt-Materialien, gelten wie bei jedem anderen Wearable.
Beispiel: App-gesteuerte Haushaltsgeräte
Küchenwaagen, Luftbefeuchter oder Heizkörperthermostate mit App-Steuerung fallen ebenfalls vollständig unter die GPSR. Hier lohnt sich besonders die Prüfung der Sicherheitshinweise, weil App-gesteuerte Haushaltsgeräte oft zusätzliche Warnhinweise zur Fernsteuerung benötigen, etwa dass ein Gerät auch bei Abwesenheit ferngesteuert eingeschaltet werden kann.
Beispiel: Bluetooth-Kopfhörer mit Firmware-Updates
Kopfhörer, die regelmäßig Firmware-Updates über eine Begleit-App erhalten, sind ein gutes Beispiel dafür, dass die GPSR-Pflicht mit dem Verkauf nicht endet. Die Hardware selbst muss die üblichen GPSR-Anforderungen erfüllen, und jedes sicherheitsrelevante Firmware-Update kann eine erneute Prüfung der Risikobewertung erforderlich machen, dazu mehr im Abschnitt zu Software-Updates weiter unten.
GPSR oder Cyber Resilience Act: Welche Verordnung gilt für dein Produkt?
Die GPSR und der Cyber Resilience Act (CRA) schließen sich nicht gegenseitig aus. Ein vernetztes Produkt kann beiden Regelwerken gleichzeitig unterliegen, weil sie unterschiedliche Schutzziele verfolgen. Die eine Verordnung sichert die allgemeine Produktsicherheit, die andere die Cybersicherheit von Produkten mit digitalen Elementen.
Der Cyber Resilience Act, offiziell Verordnung (EU) 2024/2847, ist am 10. Dezember 2024 in Kraft getreten. Er verpflichtet Hersteller von Produkten mit digitalen Elementen zu Cybersicherheitsanforderungen über den gesamten Produktlebenszyklus, von der Entwicklung über Sicherheitsupdates bis zur Meldung von Schwachstellen. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle gelten ab dem 11. September 2026. Die Hauptpflichten des CRA gelten vollständig ab dem 11. Dezember 2027.
Die folgende Übersicht zeigt, wie sich die beiden Verordnungen unterscheiden und wo sie sich überschneiden.
| Kriterium | GPSR | Cyber Resilience Act |
|---|---|---|
| Schutzziel | Allgemeine Produktsicherheit | Cybersicherheit digitaler Elemente |
| Erfasste Produkte | Alle Verbraucherprodukte ohne Spezialrecht | Produkte mit digitalen Elementen (Hardware und Software mit Netzwerkanbindung) |
| Gilt seit / ab | 13. Dezember 2024 | In Kraft seit 10. Dezember 2024, Meldepflichten ab 11. September 2026, Hauptpflichten ab 11. Dezember 2027 |
| Kernpflichten | Informationspflichten (Art. 19), Risikobewertung, Rückverfolgbarkeit | Sichere Entwicklung, Schwachstellenmanagement, Sicherheitsupdates, Meldepflichten |
| Betroffen bei rein digitalen Produkten? | Grundsätzlich nein | Ja, sobald Software vertrieben wird |
| Betroffen bei vernetzter Hardware? | Ja, als körperlicher Gegenstand | Ja, wegen der digitalen Elemente |
Das folgende Diagramm zeigt, wie die Anwendungsbereiche von GPSR und CRA sich für vernetzte Produkte überschneiden.
Für Shopify-Händler mit smarten Produkten heißt das in der Praxis: Die GPSR-Pflichten (Hersteller-Kennzeichnung, Sicherheitshinweise, Risikobewertung) und die künftigen CRA-Pflichten (sichere Softwareentwicklung, Update-Fähigkeit, Schwachstellenmeldung) laufen parallel. Wer heute schon ein CRA-konformes Update- und Sicherheitskonzept aufbaut, erfüllt damit noch nicht automatisch die GPSR-Informationspflichten und umgekehrt. Für die technischen und organisatorischen Anforderungen des Cyber Resilience Act im Detail lohnt sich ein Blick auf spezialisierte Ressourcen zu Cybersicherheitsverordnungen, da dieser Artikel sich auf die GPSR-Seite der Überschneidung konzentriert.
Müssen Software- und OTA-Updates für vernetzte Produkte dokumentiert werden?
Over-the-Air-Updates kommen im Verordnungstext nicht namentlich vor. Trotzdem löst ein sicherheitsrelevantes Update dieselbe Sorgfaltspflicht aus wie jede andere Änderung an einem Produkt nach dem Inverkehrbringen. Hersteller müssen ihre Risikobewertung aktualisieren, sobald ein Update die Sicherheitseigenschaften des Produkts verändert. Händler bleiben parallel dazu verpflichtet zu prüfen, ob der Hersteller dieser Pflicht nachgekommen ist.
Praktisch bedeutet das: Ein Firmware-Update, das eine neue Funktion freischaltet oder ein Sicherheitsproblem behebt, ist keine rein technische Angelegenheit. Verändert das Update, wie sich das Produkt im Normalbetrieb oder im Fehlerfall verhält, muss diese Änderung in der Produktdokumentation nachvollziehbar sein. Ein Update, das zum Beispiel die maximale Ladeleistung einer smarten Steckdose ändert oder die automatische Abschaltung eines Geräts deaktiviert, ist ein klarer Fall für eine erneute Prüfung.
Für die Dokumentation von OTA-Updates hat sich in der Praxis eine einfache Struktur bewährt:
- Änderungsprotokoll je Firmware-Version mit Datum und betroffenen Sicherheitsfunktionen
- Erneute Risikobewertung bei jeder sicherheitsrelevanten Änderung, nicht nur bei rein kosmetischen Updates
- Sichtbarer Versionsstand auf der Produktseite oder in der Begleit-App, damit Kunden und Marktüberwachung den aktuellen Stand nachvollziehen können
- Definierter Rückrufpfad für den Fall, dass ein Update selbst ein Sicherheitsproblem verursacht, inklusive Kontaktweg zum Hersteller
Diese Dokumentation schützt nicht nur vor Bußgeldern, sie ist auch der Nachweis, den eine Marktüberwachungsbehörde im Streitfall zuerst anfordert. Wer als Importeur oder Händler chinesische IoT-Ware vertreibt, sollte sich vom Hersteller schriftlich bestätigen lassen, dass diese Update-Dokumentation existiert, bevor das Produkt in den EU-Shop aufgenommen wird.
Praxis-Checkliste für Shopify-Händler mit vernetzten und digitalen Produkten
GPSR Pro automatisiert die Compliance-Dokumentation direkt in Shopify und reduziert den manuellen Aufwand bei vernetzten Produkten erheblich, gerade wenn viele einzelne SKUs mit unterschiedlichen Firmware-Ständen im Sortiment sind.
Wer auf Shopify smarte oder softwaregestützte Produkte verkauft, insbesondere mit Sourcing aus China oder anderen Drittländern, sollte die folgenden Punkte vor jedem neuen Listing prüfen:
- Ist das Produkt ein körperlicher Gegenstand mit eingebetteter Software oder Konnektivität? Dann gilt die GPSR vollständig, unabhängig vom Software-Anteil.
- Liegt eine aktuelle Risikobewertung des Herstellers vor, die auch die Software- und Update-Funktionen berücksichtigt?
- Ist ein EU-Verantwortlicher benannt, falls der Hersteller außerhalb der EU sitzt, was bei Drittland-Sourcing aus China die Regel ist?
- Sind die Art. 19 GPSR Pflichtangaben (Hersteller, Kontaktdaten, Sicherheitshinweise, Produktbild) auf jeder Produktseite sichtbar hinterlegt, auch für App-gesteuerte Varianten desselben Produkts?
- Gibt es einen dokumentierten Prozess für Firmware-Updates, inklusive Änderungsprotokoll und erneuter Risikobewertung bei sicherheitsrelevanten Änderungen?
- Erfüllt das Produkt zusätzlich absehbare Cyber-Resilience-Act-Anforderungen, etwa Update-Fähigkeit und eine Kontaktmöglichkeit für Schwachstellenmeldungen, auch wenn die Hauptpflichten erst ab Dezember 2027 greifen?
Für jedes dieser Kriterien gilt: Fehlt eine schriftliche Bestätigung des Herstellers, sollte das Produkt bis zur Klärung nicht gelistet werden. Das gilt besonders für IoT-Produkte aus Drittländern, bei denen die Marktüberwachung in Deutschland und Österreich zunehmend gezielt nach Update-Dokumentation und Software-Nachweisen fragt.
Häufige Fragen zur GPSR bei digitalen und vernetzten Produkten
Fällt eine reine SaaS-Lösung ohne Hardware unter die GPSR?
Nein, eine SaaS-Lösung ohne physischen Träger ist ein reiner Software-Dienst und erfüllt das Körperlichkeitsmerkmal aus Art. 3 Nr. 1 GPSR nicht. Verkaufst du zusätzlich Hardware, die auf denselben Cloud-Dienst zugreift, etwa eine Smart-Home-Zentrale, gilt die GPSR für diese Hardware vollständig.
Muss ich mein IoT-Produkt zusätzlich nach dem Cyber Resilience Act kennzeichnen?
Ja, sobald die Hauptpflichten des Cyber Resilience Act ab dem 11. Dezember 2027 vollständig greifen, benötigen Produkte mit digitalen Elementen eine CE-Kennzeichnung nach CRA-Vorgaben zusätzlich zu bestehenden GPSR-Pflichten. Die Meldepflichten für Sicherheitslücken gelten bereits ab dem 11. September 2026, weshalb sich eine frühzeitige Vorbereitung lohnt.
Was passiert, wenn ein Software-Update die Sicherheit eines Produkts nachträglich verschlechtert?
Ein Update, das die Sicherheitseigenschaften eines Produkts verschlechtert, macht das Produkt aus GPSR-Sicht zu einem unsicheren Produkt. Der Hersteller muss die Risikobewertung aktualisieren und im Zweifel einen Rückruf oder ein Korrektur-Update bereitstellen, der Händler muss den Vorfall an die zuständige Marktüberwachungsbehörde melden, sobald er davon Kenntnis erlangt.
Gilt die GPSR auch für Gratis-Apps, die zu einem Hardware-Produkt gehören?
Die App selbst fällt als reine Software nicht unter die GPSR, aber sie ist Teil des Gesamtprodukts, wenn sie zur Steuerung der Hardware notwendig ist. Sicherheitsrelevante Funktionen der App, etwa Notausschaltungen oder Warnmeldungen, müssen deshalb in der Risikobewertung des Hardware-Produkts berücksichtigt werden.
Wo finde ich die vollständigen GPSR-Pflichten für Händler und Hersteller?
Eine vollständige Übersicht aller Pflichten nach Rolle in der Lieferkette findest du in unserem Artikel zu GPSR-Pflichten. Für die konkrete Frage, welche Produkte überhaupt in den Geltungsbereich fallen, hilft der Leitfaden GPSR welche Produkte. Der vollständige Verordnungstext der GPSR (EU) 2023/988 ist auf EUR-Lex öffentlich einsehbar, ebenso wie der Text des Cyber Resilience Act.