GPSR

GPSR – Verordnung über die allgemeine Produktsicherheit (EU 2023/988)

Die Verordnung über die allgemeine Produktsicherheit (General Product Safety Regulation, GPSR; Verordnung (EU) 2023/988) ist das grundlegende horizontale Produktsicherheitsrecht der EU. Sie ersetzt die Richtlinie über die allgemeine Produktsicherheit (2001/95/EG) aus dem Jahr 2001 durch einen erheblich modernisierten und gestärkten Rechtsrahmen, der explizit darauf ausgelegt ist, die Realitäten des Online-Verkaufs, digitaler Produkte und vernetzter Geräte zu adressieren, die von der ursprünglichen Richtlinie nicht ausreichend abgedeckt wurden.

Die GPSR gilt seit dem 13. Dezember 2024 und dient nun als grundlegendes Sicherheitsnetz für in der EU verkaufte Verbraucherprodukte. Wo sektorspezifische Rechtsvorschriften gelten (wie die Maschinenverordnung oder die Funkanlagenrichtlinie), erfasst die GPSR nur die Aspekte und Risiken, die diese Rechtsvorschriften nicht regeln (Artikel 2(1)).

Wichtige Fakten

Was hat sich von der alten Richtlinie zur GPSR geändert?

Der Wechsel von einer Richtlinie zu einer Verordnung ist an sich schon bedeutsam – er bedeutet, dass die GPSR in allen 27 EU-Mitgliedstaaten einheitlich und ohne nationale Abweichungen gilt. Darüber hinaus sind die inhaltlichen Änderungen erheblich:

Wer muss die Vorschriften einhalten?

Die GPSR führt Pflichten für die gesamte Lieferkette ein, die über die Hersteller hinausgehen. Die Pflichten der Wirtschaftsakteure nach den Artikeln 9–18 gelten nicht für Produkte, die Harmonisierungsrechtsvorschriften der Union unterliegen; diese legen eigene Pflichten fest (Artikel 2(1)):

Hersteller

• Stellen sicher, dass Produkte sicher sind, bevor sie auf dem EU-Markt in Verkehr gebracht werden.
• Erstellen und pflegen technische Dokumentation, die die Sicherheit nachweist.
• Bringen erforderliche Kennzeichnungen an und stellen klare Sicherheitsinformationen bereit.
• Richten Kommunikationskanäle für Verbraucherbeschwerden ein, untersuchen Beschwerden und Unfälle und führen darüber ein internes Verzeichnis (Art. 9(11)–(12)).
• Unterrichten bei gefährlichen Produkten unverzüglich die Verbraucher und – über das Safety-Business-Gateway – die Behörden (Art. 9(8)) und melden Unfälle unverzüglich (Art. 20).
• Ergreifen Korrekturmaßnahmen, einschließlich Produktrückrufen, wenn ein Sicherheitsrisiko festgestellt wird.

Einführer

• Überprüfen vor dem Import, ob der Hersteller seine Pflichten erfüllt hat.
• Stellen sicher, dass Produkte die erforderlichen Kennzeichnungen und Unterlagen tragen.
• Informieren Hersteller über Sicherheitsprobleme; nehmen Produkte gegebenenfalls vom Markt.
• Halten 10 Jahre lang eine Kopie der technischen Unterlagen für die Behörden bereit (Art. 11(6)).

Händler (einschließlich Online-Händler)

• Überprüfen grundlegende Konformitätsindikatoren, bevor sie Produkte auf dem Markt bereitstellen.
• Kooperieren mit Behörden und Wirtschaftsakteuren bei Rückrufaktionen.
• Führen Aufzeichnungen, die die Rückverfolgbarkeit ermöglichen.

Betreiber von Online-Marktplätzen (neu unter der GPSR)

• Registrieren sich im EU-Portal Safety Gate.
• Benennen eine zentrale Kontaktstelle für die Marktüberwachungsbehörden und eine für die Verbraucher (Art. 22(1)–(2)).
• Entfernen Angebote für gefährliche Produkte, die von Behörden gemeldet werden.
• Entfernen identische Angebote desselben gefährlichen Produkts, wenn die Anordnung der Behörde dies verlangt (Art. 22(5)).
• Kooperieren mit den Marktüberwachungsbehörden.

Fulfilment-Dienstleister (neu unter der GPSR)

• Kooperieren bei Rückrufen und Sicherheitsmaßnahmen für Produkte, die ihre Einrichtungen durchlaufen.
• Melden gefährliche Produkte, von denen sie Kenntnis erlangen.

Die „allgemeine Sicherheitsanforderung“ – Was bedeutet „sicher“?

Der Kern der GPSR ist eine allgemeine Sicherheitsanforderung: Jedes auf dem EU-Markt in Verkehr gebrachte Verbraucherprodukt muss sicher sein. Ein Produkt gilt als sicher, wenn es kein oder nur das geringste mit seiner Verwendung zu vereinbarende Risiko darstellt – unter Berücksichtigung der erwarteten Benutzer, einschließlich schutzbedürftiger Personengruppen (Kinder, ältere Menschen, Menschen mit Behinderungen).

Zur Bestimmung der Sicherheit erkennt die GPSR eine Hierarchie von Nachweisquellen an:

1. Harmonisierte EU-Normen – Produkte, die den geltenden harmonisierten Normen entsprechen, gelten als sicher (Konformitätsvermutung).
2. Europäische oder internationale Normen – Andere anerkannte Normen liefern unterstützende Nachweise.
3. Beschlüsse oder Leitlinien der Kommission – Von der Kommission veröffentlichte technische Leitlinien.
4. Branchenspezifische Verhaltenskodizes – Freiwillige Kodizes können berücksichtigt werden.
5. Stand der Technik – Allgemeines Niveau der Sicherheitstechnik in dem betreffenden Bereich.

Für Hersteller von Elektronik und IoT-Geräten: Wenn Ihr Produkt unter eine sektorspezifische Richtlinie fällt (z. B. RED, Niederspannungsrichtlinie, Maschinenverordnung), gilt die GPSR als grundlegende Sicherheitsanforderung für jedes Risiko, das nicht durch diese sektorspezifische Gesetzgebung abgedeckt ist. GPSR und sektorspezifische Vorschriften existieren nebeneinander – die GPSR füllt die Lücken.

Digitale Produkte und Software-Updates

Die GPSR adressiert explizit die Herausforderungen, die Produkte mit digitalen Merkmalen mit sich bringen:

• Software-Updates, die die Sicherheit beeinträchtigen, fallen unter die GPSR. Wenn ein Software-Update die Sicherheitsmerkmale eines physischen Produkts verändert, darf das Update das Sicherheitsniveau des Produkts nicht verringern.
• Vernetzte Produkte müssen während ihrer vernünftigerweise vorhersehbaren Nutzungsdauer, einschließlich vorhersehbarer Fehlanwendung, sicher bleiben.
• OTA-Updates (Over-the-Air), die neue Sicherheitsrisiken einführen, müssen als Änderungen mit potenziellen Neubewertungspflichten behandelt werden.

Dies ist besonders relevant für Hersteller von eingebetteter Hardware: Ein Firmware-Update, das versehentlich eine Schutzfunktion (z. B. Überspannungsschutz, thermische Abschaltung) deaktiviert, könnte Pflichten aus der GPSR auslösen.

Anforderungen an die Rückverfolgbarkeit

Die GPSR führt verpflichtende Rückverfolgbarkeitspflichten ein:

• Produkte müssen eine Typen-, Chargen-, Seriennummer oder ein anderes Kennzeichen tragen, das ihre Identifizierung ermöglicht.
• Produkte müssen den Namen des Herstellers, seinen eingetragenen Handelsnamen, seine Postanschrift und Kontaktdaten anzeigen – entweder auf dem Produkt selbst oder auf seiner Verpackung.
• Ein Datenträger auf dem Produkt kann für bestimmte Produktkategorien im Rahmen eines durch delegierten Rechtsakt festgelegten Rückverfolgbarkeitssystems vorgeschrieben werden (Art. 18); ansonsten können QR-Codes freiwillig genutzt werden, um die Informationen in digitaler Form bereitzustellen (Art. 21).

Für Hardwarehersteller, die IoT-Geräte in großen Stückzahlen produzieren, bedeutet dies, dass der Herstellungs- und Kennzeichnungsprozess in der Lage sein muss, eindeutige Kennungen pro Einheit oder pro Charge anzubringen – eine Anforderung an die Fertigungstechnik, nicht nur ein Punkt auf einer Dokumentations-Checkliste.

Pflichten zur Überwachung nach dem Inverkehrbringen

Die GPSR erlegt den Herstellern fortlaufende Pflichten auf, nachdem ein Produkt in Verkehr gebracht wurde – nicht nur eine einmalige Konformitätsprüfung vor dem Inverkehrbringen. Die Verordnung selbst verwendet den Begriff „Überwachung nach dem Inverkehrbringen“ nicht:

• Hersteller müssen Kommunikationskanäle einrichten, über die Verbraucher Beschwerden einreichen und Unfälle oder Sicherheitsprobleme melden können (Art. 9(11)).
• Beschwerden und Informationen über Unfälle müssen untersucht und zusammen mit Rückrufen und Korrekturmaßnahmen in einem internen Verzeichnis geführt werden (Art. 9(12)).
• Gefährliche Produkte müssen den nationalen Behörden unverzüglich über das Safety-Business-Gateway gemeldet werden (Art. 9(8)).
• Die Behörden tauschen die Informationen anschließend über das Schnellwarnsystem Safety Gate der EU (Nachfolger von RAPEX) aus (Art. 26).

Safety Gate besteht aus drei Teilen: dem von den Behörden genutzten Schnellwarnsystem, dem öffentlichen Safety-Gate-Portal und dem Safety-Business-Gateway, über das Wirtschaftsakteure Behörden und Verbraucher unterrichten (Art. 25, 27, 34). Nur Anbieter von Online-Marktplätzen müssen sich beim Safety-Gate-Portal registrieren (Art. 22(1)).

GPSR und CE-Kennzeichnung

Die GPSR selbst erfordert keine CE-Kennzeichnung – die CE-Kennzeichnung wird durch spezifische technische Richtlinien und Verordnungen (RED, Niederspannungsrichtlinie, Maschinenverordnung, MDR usw.) vorgeschrieben. Jedoch:

• Produkte, die sektorspezifischen Rechtsvorschriften zur CE-Kennzeichnung unterliegen, sind in der Regel für die von diesen Rechtsvorschriften abgedeckten Aspekte vom Anwendungsbereich der GPSR ausgenommen.
• Die GPSR gilt für Verbraucherprodukte, für die es keine sektorspezifische Regelung gibt, die eine CE-Kennzeichnung vorschreibt.
• Ein CE-gekennzeichnetes Produkt unterliegt weiterhin den Pflichten der GPSR für alle Sicherheitsaspekte, die nicht durch die Rechtsvorschriften zur CE-Kennzeichnung abgedeckt sind.

GPSR im Vergleich zu anderen EU-Verordnungen

Korrekturmaßnahmen und Rückrufe

Die GPSR legt klarere Pflichten für Produktrückrufe fest:

• Wirtschaftsakteure müssen über interne Verfahren zur Gewährleistung der Produktsicherheit verfügen (Art. 14); ein dokumentierter Rückrufplan ist gute Praxis, keine in der GPSR ausdrücklich genannte Anforderung.
• Rückrufe müssen den betroffenen Verbrauchern direkt mitgeteilt werden, sofern Kontaktdaten verfügbar sind.
• Die Behörden müssen über das Safety-Business-Gateway von gefährlichen Produkten unterrichtet werden (Art. 9(8)); die nationalen Behörden melden anschließend Maßnahmen bei ernstem Risiko über Safety Gate (Art. 26).
• Korrekturmaßnahmen müssen für die Verbraucher kostenlos sein.
• Die Weigerung eines kleinen Prozentsatzes von Verbrauchern, an einem Rückruf teilzunehmen, entbindet den Hersteller nicht von seinen Pflichten.

Aus unserer Erfahrung

Bei der Durchführung von GPSR-Readiness-Assessments mit Hardwareherstellern in den Jahren 2024–2025 identifizieren wir durchweg die folgenden Lücken:

Das Problem mit dem Firmware-Update für den thermischen Schutz. Wir haben mit einem Hersteller von Unterhaltungselektronik zusammengearbeitet, der ein Firmware-Update für das Power-Management veröffentlichte, das die Schwelle für die thermische Abschaltung um 2 °C verschob – und sie damit knapp außerhalb der getesteten und zertifizierten Betriebsparameter des Geräts brachte. Gemäß der GPSR kann ein Software-Update, das die Sicherheitsmerkmale eines Produkts negativ verändert, eine Neubewertungspflicht auslösen. Dem Hersteller war nicht bewusst, dass sein Standard-OTA-Release-Prozess keine Prüfung der Sicherheitsauswirkungen vorsah. Wir empfehlen nun, dass jede Firmware-Veröffentlichung für CE-gekennzeichnete Produkte einen expliziten Schritt zur Überprüfung des Sicherheitsdeltas vor der Bereitstellung enthält – mit der Frage: „Ändert dieses Update einen Parameter, der Teil der Sicherheitsbewertung war?“

Nicht-EU-Hersteller entdecken die Anforderung einer verantwortlichen Person in der EU zu spät. Ein wiederkehrendes Muster in unserer Arbeit: Asiatische und US-amerikanische Hardwarehersteller, die seit Jahren unter dem GPSD-Regime an Amazon EU verkaufen, stellen Ende 2024 fest, dass die GPSR eine in der EU niedergelassene verantwortliche Person verlangt (Artikel 16) und dass Online-Angebote sie nennen müssen (Artikel 19). Ein EU-Einführer erfüllt diese Rolle kraft Gesetzes; beim Direktvertrieb ohne Einführer ist es ein schriftlich beauftragter Bevollmächtigter oder ein Fulfilment-Dienstleister. Die verantwortliche Person muss die Produktsicherheitsdokumentation zur Verfügung stellen können und ist der Ansprechpartner für die Marktüberwachungsbehörden. Unternehmen, die keine solche Vereinbarung getroffen hatten, sahen sich im Dezember 2024 mit dem Druck einer Auslistung bei Amazon EU konfrontiert. Die Lektion: Die Marktreife gemäß GPSR umfasst sowohl die Dokumentation als auch eine formale Vertretungsstruktur.

Überwachung nach dem Inverkehrbringen als realer Prozess, nicht nur als Checkbox-Eintrag. Die Pflichten der GPSR zur Bearbeitung von Beschwerden und zur Führung eines Verzeichnisses (Art. 9(11)–(12)) sind rechtlich bindend, aber die meisten von uns bewerteten Hersteller haben keinen systematischen Prozess – nur eine Ad-hoc-Reaktion auf Rücksendungen. Ein minimal funktionsfähiges PMS unter der GPSR erfordert: ein System zur Verfolgung von Kundenbeschwerden, das sicherheitsrelevante Probleme kennzeichnet, eine Überprüfungsfrequenz (z. B. vierteljährlich), einen definierten Eskalationspfad zur verantwortlichen Person in der EU oder zur notifizierten Stelle und dokumentierte Nachweise der Überprüfung. Die Einrichtung dauert etwa 2–3 Wochen Prozessdesign, kann aber nicht rückwirkend erstellt werden, wenn eine Behörde nach Aufzeichnungen fragt.

Das Missverständnis „Es hat eine CE-Kennzeichnung, also gilt die GPSR für uns nicht“. Eine CE-Kennzeichnung gemäß RED, Niederspannungsrichtlinie oder der Spielzeugrichtlinie schließt ein Produkt nicht von der GPSR aus. Die CE-Kennzeichnung deckt die spezifischen wesentlichen Anforderungen dieser Richtlinien ab. Die GPSR gilt für Sicherheitsaspekte, die nicht von der sektorspezifischen Gesetzgebung behandelt werden – zum Beispiel die physische mechanische Robustheit eines Gehäuses, die nicht unter der RED geprüft wird, oder die Stabilität eines Smart-Home-Geräts, das umkippen könnte. Wir sehen immer wieder, dass Hersteller annehmen, CE = GPSR-Befreiung, obwohl die GPSR in der Praxis eine zusätzliche, parallele Verpflichtung darstellt.

Verwandte Begriffe

• CE-Kennzeichnung – Erforderlich durch sektorspezifische Richtlinien, nicht durch die GPSR selbst; die GPSR ist ergänzend.
• Technische Dokumentation – Die GPSR erfordert technische Dokumentation zum Nachweis der Produktsicherheit.
• Überwachung nach dem Inverkehrbringen – Beobachtung der Produkte nach dem Inverkehrbringen; die GPSR verlangt die Bearbeitung von Beschwerden und ein internes Verzeichnis (Art. 9(11)–(12)).
• Verantwortliche Person in der EU – In der EU niedergelassener Wirtschaftsakteur, der für die von Artikel 16 der GPSR erfassten Produkte erforderlich ist.
• Safety Gate / RAPEX – Das EU-Schnellwarnsystem, über das die Behörden Warnmeldungen zu gefährlichen Produkten austauschen.
• CRA – Cyberresilienz-Verordnung, die die GPSR für Produkte mit digitalen Elementen ergänzt.

Offizielle Quellen

• GPSR – Verordnung (EU) 2023/988 – EUR-Lex Volltext
• EU Safety Gate Portal – Europäische Kommission
• Leitlinien zur Umsetzung der GPSR – Europäische Kommission (GD JUST)
• GPSR ersetzt GPSD – EUR-Lex (Aufhebung der Richtlinie 2001/95/EG)

Die GPSR betrifft jeden Hardwarehersteller, der Verbraucherprodukte in der EU verkauft – selbst Unternehmen, die bereits eine CE-Kennzeichnung gemäß RED oder der Niederspannungsrichtlinie haben. Unsere EU-Compliance-Beratung deckt die GPSR-Pflichten neben den Cybersicherheitsvorschriften ab, sodass Ihre Produkteinführung an allen Fronten abgesichert ist: von der Erstellung der technischen Dokumentation und Sicherheitsdokumentation bis hin zu Prozessen für die Überwachung nach dem Inverkehrbringen und Meldungen über das Safety-Business-Gateway.