Das Mikrofon im Kinderzimmer
Sprache ohne lokale Verarbeitung verlässt das Zimmer. Händler verlangen Löschfristen, signierte Updates und keine Default-Cloud in Drittstaaten. Die CRA-Meldepflicht läuft seit September 2026.
Ein Gerät mit Anschluss: im Kinderzimmer ist das oft ein Mikrofon, bevor es ein Spielzeug ist. Bildnachweis: Unsplash. Kommerzielle Unsplash-Lizenz.
beim Lieferanten der Spielwarenfachhandel hängt oft dasselbe Versprechen. Das Spielzeug hört, antwortet, lernt. Im Kinderzimmer ist das Gerät ein Mikrofon mit Cloud. Sprache, Standort, Nutzungszeiten und manchmal das Gesicht der Bezugsperson verlassen den Raum, sobald die Default-Einstellung eine Serveradresse in einem Drittstaat trägt. Datensouveränität ist hier die Frage, wer die Datei löschen kann und wer sie schon kopiert hat. Abstrakt klingt das nur in der Broschüre.
Die DSGVO gilt für Kinder strenger, nicht lockerer. Einwilligung der Eltern ersetzt keine technischen und organisatorischen Maßnahmen. Ein Hase mit WLAN ohne dokumentierte TOMs, ohne Löschfrist und ohne lokale Alternative ist ein Schutzverstoß in Wartestellung. Händler, die ihn listen, tragen das Risiko mit, auch wenn die Stimme niedlich ist.
Was das Mikrofon wirklich schickt
Spracheingabe ohne lokale Verarbeitung bedeutet: das Audio verlässt das Gerät. Ob es als Datei, als Feature-Vektor oder als Transkript ankommt, ändert die Schutzlage nur in der Form. Zweckbindung, Minimierung und Speicherfrist müssen vorher festliegen. Ein Firmware-Update, das plötzlich Gesichtserkennung zuschaltet, ist eine neue Verarbeitung. Sie braucht eine neue Information. Eine versteckte Checkbox reicht nicht.
Viele Connected Toys speichern Konten der Eltern, WLAN-Namen, MAC-Adressen und Nutzungsprofile. Das ist Inventar. Ein Auskunftsersuchen muss diese Daten listen können. Fehlt das Verzeichnis, fehlt die Rechtmäßigkeit. Institute und Händler, die solche Geräte als pädagogisch verkaufen, sehen die Liste vor dem Verkauf, nicht nach dem ersten Elternbrief.
Kameras in Puppen und Robotern sind der schärfere Fall. Ein Bild im Kinderzimmer ist eine biometrische Nähe, auch wenn der Hersteller es nur Szene nennt. Default aus. Ein Deckel, den du physisch schließen kannst. Eine LED, die sich nicht softwareseitig wegreden lässt. Alles andere bleibt ein Gerät, das nicht ins Regal gehört.
Der Default entscheidet, nicht die Fußnote
Der Standardpfad entscheidet. Liegt der Account automatisch auf einem Server außerhalb des EWR ohne gültigen Transfermechanismus, ist der Verkauf in der EU ein rechtliches Problem. Standardvertragsklauseln, Angemessenheitsbeschlüsse und eine ehrliche Angabe im Impressum sind Mindeststand. Ein QR-Code auf der Schachtel, der in eine undatierte Privacy-Page mündet, reicht nicht. Er ist ein Aufkleber.
Lokale Verarbeitung ist die saubere Architektur. Sprache wird auf dem Gerät erkannt, die Cloud bleibt optional und aus. Wer das nicht bauen kann, hält die Cloud so eng, dass Zweck, Frist und Löschung in einem Satz stehen. „Wir verbessern den Dienst“ ist kein Zweck, der ein Kinderzimmer trägt.
Ein Mikrofon im Kinderzimmer ohne lokale Verarbeitung und ohne Löschfrist ist kein Spielzeugmerkmal. Es ist eine offene Akte.
Updates müssen signiert sein. Ein offener Port, ein voreingestelltes Passwort und eine Firmware ohne Update-Pfad sind die klassische Schwachstelle vernetzter Kinderprodukte. Ein Gerät kann EN 71 bestehen und trotzdem ein Geheimnis ausliefern, das in der Anleitung steht. Mechanische Sicherheit und Datensicherheit sind zwei Prüfungen. Eine davon besteht der Hase oft nur auf dem Karton.
Seit dem 11. September 2026 gilt für Hersteller eine Meldepflicht aus dem Cyber Resilience Act, Verordnung (EU) 2024/2847, Artikel 14. Aktiv ausgenutzte Schwachstellen und schwere Vorfälle mit Wirkung auf die Sicherheit des Produkts gehen innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden als Meldung an die Single Reporting Platform der ENISA. Die übrigen Pflichten, darunter die wesentlichen Cybersicherheitsanforderungen und der Supportzeitraum, folgen am 11. Dezember 2027. Ein Stand, der den Act auf das Jahr 2027 verschiebt, überspringt die Uhr, die schon läuft. Das Gerät im Regal ist nicht ausgenommen, nur weil es vor diesem September ausgeliefert wurde, sobald eine Schwachstelle aktiv ausgenutzt wird.
Artikel 8 der DSGVO lässt den Mitgliedstaaten das Alter der digitalen Einwilligung zwischen 13 und 16 Jahren. Deutschland hat 16 gesetzt. Ein Spielkonto mit Sprachprofil stützt sich nicht auf den Klick des Kindes. Information und Einwilligung laufen über die Sorgeberechtigten, und sie beschreiben das Mikrofon in klaren Sätzen. Aus, bis ein Knopf es öffnet. Lokale Erkennung oder Stream. Löschung nach dem Befehl oder eine Frist in Tagen. Eine Voreinstellung, die Rohaudio behält, um ein Modell zu trainieren, ist kein Zweck, den diese Einwilligung stillschweigend deckt.
Technische Maßnahmen bleiben benennbar. Verschlüsselung auf dem Weg, getrennte Schlüssel, Zugriff nur für den Betrieb des Befehls, ein Reset, der das Serverkonto mitlöscht, wenn das Spielzeug weitergegeben wird. Ein Gerät aus zweiter Hand ohne Rücksetzen ist ein Konto, das weiterhört. Das ist die Zeile, die der Einkauf neben der Stimme lesen will.
Was vor der Listung auf dem Tisch liegt
Einkauf fragt nicht nach der niedlichsten Stimme. Einkauf fragt nach dem Verzeichnis der Verarbeitung, nach dem Auftragsverarbeiter, nach der Speicherdauer, nach dem Ort, nach dem Recht auf Löschung und nach dem Verhalten bei einer Verletzung. Fehlt eine Antwort, fehlt das Listing.
Schulen und Therapien, die vernetztes Material einsetzen, brauchen zusätzlich eine Auftragsverarbeitung und eine klare Regelung, wer das Gerät zurücksetzen darf. Ein Kinderschutzkonzept ohne diesen IT-Teil ist unvollständig. Die Aufsichtsbehörden haben Connected Toys wiederholt als Beispiel genutzt. Das ist bekannt genug, um beim Fachhandel nicht überrascht zu tun.
Elterninformation gehört in Klartext. Welche Daten, wohin, wie lange, wie aus. Keine 14-seitige Klausel auf Englisch in 8 Punkt. Wer das nicht liefern kann, verkauft das Gerät nicht an Familien.
Die Dokumente, mit denen das Standgespräch endet
Ein Standgespräch zu Connected Toys endet mit Papier, nicht mit einer Demo-Stimme. Audio, Konto, Standort, Bild: jede Art braucht einen Zweck. Der Ort liegt im EWR oder hinter einem gültigen Transfermechanismus. Ein stiller Drittstaat ist kein Default. Löschung hat Frist, Reset und Nachweis. „Account löschen“ muss das Gerät leeren. Updates sind signiert, es gibt kein Default-Geheimnis, das Support-Ende ist benannt. Mikrofon und Kamera stehen auf aus, die Cloud ist optional. Der CRA-Pfad gilt seit dem 11. September 2026, die Frühwarnung in 24 Stunden, der Supportweg für 2027 ist benannt.
Vernetztes Spielzeug kann sinnvoll sein, wenn die Architektur lokal denkt. beim Fachhandel trennt genau das Hersteller, die einen Reset vorzeigen, von Ständen, die ein Kindermikrofon als Intelligenz verkaufen. Der Hase aus zweiter Hand, der noch den WLAN-Namen der vorigen Familie kennt, ist der leise Beweis. Er steht selten in der Vitrine. Er sollte.
