Smart Toys und der Datenschutz – Spione im Kinderzimmer?

Unsere Welt wird immer „smarter“, alle Bereiche der Heimelektronik können immer weiter untereinander und mit dem Internet kommunizieren. Dieser Artikel widmet sich den Gefahren, die Smart Toys ins Kinderzimmer bringen können, und der Frage, inwiefern diese tatsächlich als Spione genutzt werden können. Datenschutz ist gerade in diesem Kontext kein Verhinderer, sondern ein wichtiger Grundsatz, um die Jüngsten zu schützen. Lesen Sie in diesem Beitrag mehr zu Smart Toys.

Wie funktionieren Smart Toys?

Als Smart Toy (zu Deutsch intelligentes Spielzeug) bezeichnet man Spielzeuge, die durch den Einsatz von Technik erweitert werden und entweder über eine gewisse künstliche Intelligenz verfügen oder Teil des Internet of Things sind. Sie können in einem gewissen Rahmen auf das Verhalten der Kinder reagieren, z. B. über eine Kamera, ein Mikrofon und einen Lautsprecher oder Bewegungssensoren. Hierunter fallen unter anderem Puppen, die Gespräche führen können, Bücher, die sich mit einem zusätzlichen Lautsprecher selbst vorlesen, aber auch Geräte wie Lern-Tablets.

Ob „Hello Barbie“ oder „My Friend Cayla“, werden unsere Kinder belauscht?

Zwei Beispiele für spannende neue Techniken, die mit einem großen Haken daherkommen, sind „Hello Barbie“ und „My Friend Cayla“. In diesen Fällen zeigte sich die Neugier von Smart Toys. Beide Puppen haben ein Mikrofon, mit dem Fragen von Kindern aufgenommen werden können. Sie sind mit dem Internet verbunden und senden die gestellten Fragen an die Server der Hersteller, um dann eine passende Antwort zurückzusenden. Dass der Puppe dabei unter Umständen sehr private Informationen anvertraut werden, erkennt man auch ohne viel Fantasie schnell.

Wie die Daten sonst noch verwendet werden und inwiefern sie dann zur Profilbildung sowie Werbung genutzt werden, bleibt unklar. Die Puppe „My Friend Cayla“ war in der Folge als „verbotene Sendeanlage“ durch die Bundesnetzagentur eingeordnet worden, da unbemerkt Audiodateien an den Hersteller übertragen werden konnten. Die Bundesnetzagentur hatte die Puppe nicht nur vom Markt genommen, sondern hatte für diese ein Verkaufs- und Betriebsverbot erlassen.

Die „Hello Barbie“ kam in Deutschland zwar nie auf den Markt. Ihr Verkaufsstart in den USA sorgte aber auch hierzulande für Furore. Der Kryptologe Matt Jakubowski prüfte das Spielzeug und berichtete in einem Interview mit dem US-Sender NBC, dass er auf Account-IDs, Audiodateien, das Mikrofon und Netzwerknamen zugreifen konnte. Wie problematisch ein solcher Zugriff sein kann, wird dadurch deutlich, dass Kinder den Puppen nicht nur einfache Fragen stellten, sondern diese teilweise als Tagebuch nutzten und dort private Details preisgaben. Aber nicht nur Dritte konnten aufgrund von Sicherheitsmängeln möglicherweise auf die Gespräche zugreifen, Mattel stellte diese auch den Eltern zur Verfügung. Ein Umstand, der den Wissenschaftlichen Dienst des Bundestages veranlasste, mögliche Ansprüche des Kindes gegen seine Eltern zu prüfen, wenn diese die Gespräche ihres Kindes mit der Barbie anhören und Mattel einen Big Brother Award bescherte.

Für wen sind die von Smart Toys gewonnenen Daten zugänglich?

Die Daten, die durch die Smart Toys gewonnen werden, werden regelmäßig durch die Hersteller verarbeitet, um die Funktionen zu verbessern oder um bestimmte Funktionen zur Verfügung zu stellen. Welche Zwecke daneben noch verfolgt werden, ist in den meisten Fällen undurchsichtig. So fallen viele Smart Toys immer wieder negativ bei unabhängigen Tests auf. Zum Beispiel stufte die Stiftung Warentest bei der Überprüfung des Datensendeverhaltens und der Sicherheitsaspekte von sieben exemplarisch ausgewählten Smart Toys kein einziges als unkritisch ein:

Datenschutzrisiken durch Smart Toys

Die Datenschutzrisiken bei Smart Toys sind, dass das Kind sowie der gesamte Haushalt durch einen smarten Gegenstand überwacht werden können und dies insbesondere von außen nicht ersichtlich ist. Weiter entsteht unter Umständen eine Drittlandübermittlung, in ein Land mit keinem angemessenen Datenschutzniveau. Damit entsteht ein weiteres Risiko für sehr sensible Daten, denn Gespräche im Haushalt können nahezu jeden noch so intimen Bereich abdecken. So können auch regelmäßige Aufenthaltsorte, Gewohnheiten und Interessen des Kindes und anderer Familienmitglieder offenbart werden.

Erfolgreiche Hackerangriffe in der Vergangenheit

Eine weitere Gefahr von Smart Toys sind Hackerangriffe. Große Datensammlungen mit sensiblen Daten erregen regelmäßig Aufmerksamkeit von Hackern. Der Hersteller VTech, der unter anderem elektronische Lerngeräte, Babyfone und Smart Toys herstellt, wurde 2015 gehackt. So konnten 5 Millionen Nutzerdaten gestohlen werden. Auch das Beispiel von „CloudPets“ zeigt die Gefahr der ungenügenden technischen Sicherung von Smart Toys. Die smarten Kuscheltiere machten es möglich, Sprachnachrichten zwischen Eltern und Kindern auszutauschen. Die Nachrichten werden von der App des Handys ins Internet übertragen und von da aus zu den Kuscheltieren. Das Problem hierbei war, dass diese Daten nicht gesichert waren. Die Daten ließen sich von den Servern ohne Authentifizierung auch von Dritten aufrufen.

Behörden warnen vor Smart Toys

Nicht nur deutsche Behörden warnen vor den Gefahren von Smart Toys. Die Bundesregierung warnt auf ihrer Website insbesondere davor, dass Spielzeuge ggf. zu Spionagegeräten verkommen können. Hierbei geht es insbesondere um solche, die eine Verbindung zum Internet aufbauen sowie Audio- oder Bilddateien aufnehmen und an Dritte übermitteln können.

Vorgaben der DSGVO und des TDDDG an Smart Toys

Aus Sicht des Datenschutzrechts ist nicht nur eine Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten durch den Spielzeughersteller erforderlich, es sind auch weitere Grundsätze zu beachten, sofern er als Verantwortlicher für den smarten Dienst auftritt. Grundsätzlich gelten die Voraussetzungen des Art. 32 DSGVO für die Auswahl geeigneter technischer und organisatorischer Maßnahmen. Es muss eine Balance zwischen dem Schutzniveau, das dem Stand der Technik entspricht und dem Risiko gefunden werden.

Doch wieso hapert es daran bis heute? Das dürfte einerseits an dem Zuständigkeitswirrwarr der Aufsichtsbehörden (Bundesnetzagentur, Bundesamt für Sicherheit in der Informationstechnik und Datenschutzbehörden) und andererseits an der ungenügenden Umsetzung der E-Privacy-Richtlinie, bzw. der fehlenden E-Privacy-Verordnung, gelegen haben. Denn auch Smart Toys, die an das Internet angeschlossen sind, fallen als Endeinrichtungen unter den Schutzbereich der Richtlinie. Das TDDDG hat hier nur bedingt für Klarheit gesorgt. Zwar müssten wohl auch die Hersteller von Smart Toys als Telemedienanbieter die teilweise strengeren Vorgaben zu technischen und organisatorischen Vorkehrungen in § 19 TDDDG sowie die Einwilligungspflicht des § 25 TDDDG beachten.

„Das Verhältnis der Regelung zu anderen gesetzlichen Vorschriften ist unklar, weil die Vorgaben weitestgehend unreflektiert aus den Vorgängernormen übernommen worden sind, ohne dass sich der Gesetzgeber ersichtlich Gedanken über die Einbettung dieser Vorgaben in den mittlerweile durch die DSGVO gesetzten – im Bereich des Datenschutzes prinzipiell vollharmonisierten – Rechtsrahmen gemacht hat. […] Es spricht deshalb viel dafür, dass zumindest § 19 Abs. 2 TDDDG wegen des Vorrangs der DSGVO unanwendbar ist. Auch soweit § 19 TDDDG bereichsspezifische Konkretisierungen der allgemeinen Pflicht aus Art. 24, 32 DSGVO zur Ergreifung geeigneter technischer und organisatorischer Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus personenbezogener Daten im Bereich der digitalen Dienste enthält, ist die Regelungskompetenz des deutschen Gesetzgebers fraglich.“ (Taeger/Gabel (2026), § 19 TDDDG Rn. 3)

Neben den datenschutzrechtlichen Anforderungen der DSGVO und den Vorgaben des TDDDG gewinnen für Smart Toys zunehmend auch produktsicherheitsrechtliche Cybersicherheitsanforderungen an Bedeutung. Mit dem Cyber Resilience Act hat die Europäische Union einen einheitlichen Rechtsrahmen für Produkte mit digitalen Elementen geschaffen. Da Smart Toys regelmäßig über Netzwerk- oder Internetverbindungen verfügen und personenbezogene Daten von Kindern verarbeiten, dürften viele dieser Produkte in den Anwendungsbereich des CRA fallen. Hersteller müssen daher künftig nicht nur datenschutzrechtliche Vorgaben, sondern auch Anforderungen an sichere Produktentwicklung, Schwachstellenmanagement und Sicherheitsupdates berücksichtigen.

KI-gestützte Smart Toys – eine neue Risikodimension

Die Beispiele „Hello Barbie“ und „My Friend Cayla“ stammen aus einer Zeit, in der Smart Toys auf einfache Spracherkennung und vorprogrammierte Antwortdatenbanken setzten. Mit dem Einsatz generativer KI hat sich die Lage grundlegend verändert. Moderne Smart Toys können offene, kontextbezogene Gespräche führen, auf frühere Aussagen des Kindes Bezug nehmen und aktiv Fragen stellen. Für Kinder entsteht dadurch der Eindruck eines echten Gegenübers – mit entsprechend tieferem Vertrauen und längerer Interaktion.

Daraus ergeben sich Risiken, die über klassische Überwachungsszenarien hinausgehen:

• Trainingsdaten: Wenn Gespräche von Kindern in das Training von KI-Modellen einfließen, sind diese Inhalte im Modell nicht mehr einzeln löschbar. Das Recht auf Löschung nach Art. 17 DSGVO stößt hier an praktische Grenzen.
• Emotionale Bindung und Beeinflussung: KI-gestützte Spielzeuge können gezielt Vertrauen aufbauen, Konsumwünsche wecken oder Meinungen formen. Kinder sind solchen Mechanismen aufgrund ihrer Entwicklung besonders ausgeliefert.
• Profilbildung in Echtzeit: Statt lediglich Audiodateien zu speichern, können KI-Systeme aus dem Gesprächsverlauf Persönlichkeitsmerkmale, emotionale Zustände und familiäre Verhältnisse ableiten – ein qualitativ anderes Risiko als die passive Datensammlung früherer Generationen.

Regulatorisch gewinnt neben DSGVO und CRA die europäische KI-Verordnung (Verordnung (EU) 2024/1689) an Bedeutung. Sie stuft KI-Systeme, die mit vulnerablen Gruppen interagieren, potenziell als Hochrisiko-Systeme ein. Kinder werden explizit als besonders schutzbedürftige Gruppe genannt. Für Hersteller KI-gestützter Smart Toys bedeutet das unter anderem Pflichten zur Risikobewertung, menschlichen Aufsicht, Transparenz gegenüber Nutzern sowie zur Dokumentation der verwendeten Trainingsdaten. Manipulative Techniken, die das Verhalten von Kindern in einer Weise beeinflussen, die zu physischen oder psychischen Schäden führen kann, sind nach Art. 5 der Verordnung sogar verboten.

Für Eltern und Datenschutzbeauftragte verschärft sich damit die Ausgangslage: Es reicht nicht mehr aus, zu fragen, ob ein Smart Toy Daten überträgt. Entscheidend ist zusätzlich, ob ein KI-Modell im Hintergrund arbeitet, wie es trainiert wurde, welche Einflussmöglichkeiten es auf das Kind hat und welche Transparenz- und Compliance-Pflichten der Hersteller tatsächlich erfüllt.

Was können Eltern tun, um ihre Kinder vor den Gefahren von Smart Toys zu schützen?

Die Bundesnetzagentur rät Eltern, beim Kauf darauf zu achten, ob das Produkt ein Mikrofon oder eine Kamera hat und ob diese Daten kabellos an den Hersteller übertragen werden können. Wenn ein heimlicher externer Zugriff möglich ist, sind diese Gegenstände verboten. Die Initiative „Schau Hin!“ der Bundesregierung empfiehlt Smart Toys mit Internetzugriff erst ab einem Alter von 10 Jahren, da für die Nutzung eine gewisse Medienkompetenz und ein Bewusstsein für Risiko vorhanden sein sollte.

Im Einzelnen sollten folgende Punkte beachtet werden:

• Recherche nach bekannten Sicherheitsrisiken des Spielzeugs.
• Die Informationen über das Produkt genau lesen. Zugehörige Apps im Vorfeld installieren und bezüglich Berechtigung sowie möglichen In-App-Käufen überprüfen.
• Über die Datenschutzerklärung sollte geklärt werden, wie personenbezogene Daten verarbeitet werden und welchen Standort ggf. die Server haben.
• Eltern sollten das Spielzeug vorher in jedem Fall selbst testen und das Kind beim Spielen begleiten.
• Das Spielzeug sollte dann möglichst sicher eingestellt werden und bestimmte Funktionen (wie z. B. Bluetooth) ausgeschaltet werden.
• Nach der Nutzung sollte darauf geachtet werden, dass das Smart Toy vollständig ausgeschaltet ist.

Datenhoheit den Eltern

„Spione im Kinderzimmer“ – das hört sich nach einem schlechten Filmtitel an. Um die düstere Zukunftsvision von der Dauerüberwachung nicht wahr werden zu lassen, muss dringend gesteuert werden, in welchem Maße Daten verarbeitet werden. Datenschutz sollte hier nicht als Bremse verstanden werden, sondern als wichtiger Grundsatz. Dies wird in einer immer weiter digitalisierten Welt ein zunehmend wichtiger Punkt. Es wird immer unklarer, wer welche Daten verarbeitet, wo Profile angelegt werden und wie diese verwendet werden. Kinder sind besonders schützenswert, daher sollte gerade im Bereich der Smart Toys ein besonderes Augenmerk auf den Datenschutz gelegt werden. Die Datenhoheit muss in die Hände der Eltern gelegt werden.