Die Brille sieht mit. Aber wissen die anderen davon?
Consult
Smart Glasses zwischen unsichtbarer Datenerhebung und betrieblicher Datenschutz-Governance
Smart Glasses sehen inzwischen häufig wie gewöhnliche Brillen aus. Gleichzeitig können sie fotografieren, Gespräche erfassen, Videos übertragen oder ihre Umgebung mithilfe künstlicher Intelligenz analysieren. Für Unternehmen entstehen damit praktische Einsatzmöglichkeiten, etwa bei Wartungsarbeiten, Schulungen, Dokumentationen oder zur Unterstützung von Beschäftigten.
Datenschutzrechtlich liegt die besondere Herausforderung gerade in der Unauffälligkeit der Geräte: Personen im Umfeld können häufig weder erkennen, ob Daten verarbeitet werden, noch zu welchem Zweck dies geschieht. Der Europäische Datenschutzausschuss hat deshalb am 13. Oktober 2026 eine eigene Stellungnahme zu Smart Glasses veröffentlicht. Sie zeigt, dass ein betrieblicher Einsatz nicht allein durch eine Datenschutzerklärung oder eine interne Nutzungsrichtlinie abgesichert werden kann.
Das Wichtigste auf einen Blick
- Sobald Smart Glasses Bilder, Stimmen oder andere Informationen über identifizierte oder identifizierbare Personen verarbeiten, ist grundsätzlich die DSGVO anwendbar. Wer verantwortlich ist, hängt davon ab, wer Zwecke und wesentliche Mittel der Verarbeitung bestimmt.
- Die besondere Bauweise verschärft das Transparenzproblem. Außenstehende können Smart Glasses häufig nicht von gewöhnlichen Brillen unterscheiden. Herkömmliche Datenschutzhinweise reichen deshalb nach Einschätzung des EDPB regelmäßig nicht aus.
- Eine betriebliche Einführung erfordert mehr als die Auswahl eines Anbieters. Unternehmen müssen Einsatzszenarien, Rechtsgrundlagen, Rollen, technische Einstellungen, sensible Einsatzorte und Zugriffe durch App-, Cloud- oder KI-Anbieter vorab prüfen.
Warum Smart Glasses mehr sind als eine tragbare Kamera
Bei einer gewöhnlichen Kamera ist für das Umfeld meist erkennbar, dass eine Aufnahme möglich ist. Smart Glasses können dagegen nahezu unbemerkt Bilder, Videos und Hintergrundgespräche erfassen. Hinzu kommen Funktionen wie Live-Streaming, Echtzeitübersetzung, Objektidentifikation oder eine KI-gestützte Analyse der Umgebung.
Dadurch werden nicht nur bewusst ausgewählte Personen erfasst. Auch Beschäftigte, Kunden, Besucher oder zufällig anwesende Dritte können in den Aufnahmebereich geraten.
Am Arbeitsplatz können zudem Geschäftsgeheimnisse, vertrauliche Dokumente und interne Gespräche betroffen sein. Bereits die Vermutung, aufgenommen zu werden, kann außerdem dazu führen, dass Menschen ihr Verhalten verändern.
Wer ist für die Verarbeitung verantwortlich?
Die Antwort lautet nicht automatisch: der Hersteller. Entscheidend ist, wer die jeweiligen Verarbeitungszwecke und wesentlichen Mittel festlegt.
Nach der Stellungnahme kommen je nach Ausgestaltung der Nutzer, der Gerätehersteller, der Anbieter einer verbundenen Anwendung und der Betreiber eines eingebundenen KI-Systems als Verantwortliche oder gemeinsam Verantwortliche in Betracht.
Bei einem betrieblichen Einsatz wird regelmäßig das Unternehmen für die von ihm bestimmten Verwendungszwecke verantwortlich sein. Verarbeitet der Anbieter die erfassten Daten darüber hinaus für eigene Zwecke, etwa zur Produktanalyse oder zum Training eigener KI-Modelle, kann für diese Verarbeitung eine eigene Verantwortlichkeit bestehen.
Eine pauschale Einordnung als Auftragsverarbeiter greift daher zu kurz. Geprüft werden muss der gesamte Datenfluss:
Diese Datenflüsse sollten Unternehmen prüfen
- Lokale Verarbeitung auf dem Gerät
- Übermittlung an Apps oder Cloud-Dienste
- Speicherung der erfassten Informationen
- Weitere Nutzungszwecke der Anbieter
- Eingesetzte Unterauftragnehmer
Transparenz muss im Moment der Erfassung funktionieren
Eine Datenschutzerklärung im Intranet oder auf der Unternehmenswebsite erreicht Personen nicht zuverlässig, die zufällig in den Erfassungsbereich der Brille geraten. Der EDPB empfiehlt deshalb eine Kombination verschiedener Mechanismen, die unmittelbar erkennbar machen, dass eine Verarbeitung stattfindet.
Wie Smart Glasses erkennbar werden können
- Deutlich sichtbare Leuchtanzeigen
- Akustische Signale bei aktiver Datenerfassung
- Ein Produktdesign, das Smart Glasses von gewöhnlichen Brillen unterscheidbar macht
Solche Anzeigen sollten praktisch wahrnehmbar, nur schwer deaktivierbar und mit der tatsächlich verwendeten Funktion verknüpft sein.
Eine Einwilligung löst nicht jedes Problem
Jede Verarbeitung benötigt eine Rechtsgrundlage nach Art. 6 DSGVO. Eine Einwilligung kann in klar abgegrenzten Situationen in Betracht kommen.
Bei zufällig erfassten Passanten, Besuchern oder Beschäftigten anderer Unternehmen ist es jedoch häufig kaum möglich, vor Beginn der Verarbeitung eine freiwillige, informierte und eindeutige Einwilligung einzuholen. Eine nachträgliche Zustimmung legitimiert die bereits erfolgte Erhebung nicht rückwirkend.
Auch ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO ist kein Auffangtatbestand. Es erfordert eine Prüfung des konkreten Interesses, der Erforderlichkeit und der entgegenstehenden Rechte der betroffenen Personen. Die fehlende Erkennbarkeit der Verarbeitung belastet diese Abwägung.
Besonders schwer zu rechtfertigen können weitere kommerzielle Nutzungen oder das Training von KI-Modellen mit Daten unbeteiligter Personen sein.
Weitere rechtliche Anforderungen im Blick behalten
Tonaufnahmen (§ 201 StGB):
Die unbefugte Aufnahme des nichtöffentlich gesprochenen Wortes kann in Deutschland strafbar sein.
Bildveröffentlichungen (§§ 22 und 23 KunstUrhG):
Werden Bildnisse verbreitet oder öffentlich zur Schau gestellt, sind die Vorgaben des Kunsturhebergesetzes zu beachten.
Mitbestimmung (§ 87 Abs. 1 Nr. 6 BetrVG):
Können die Geräte das Verhalten oder die Leistung von Beschäftigten überwachen, ist eine Beteiligung des Betriebsrats zu prüfen.
Was Unternehmen vor der Freigabe klären sollten
Ein belastbares Nutzungskonzept sollte mindestens folgende Punkte abdecken:
Checkliste für den betrieblichen Einsatz
- Einsatzbereiche: Zulässige Einsatzszenarien, ausgeschlossene Zwecke und sensible Einsatzorte definieren.
- Verantwortlichkeiten: Rollen von Unternehmen, Hersteller, App-, Cloud- und KI-Anbieter klären.
- Datenverarbeitung: Datenarten, vollständige Übermittlungswege, weitere Nutzungszwecke und Speicherfristen erfassen.
- Rechtliche Grundlagen: Rechtsgrundlage, Transparenzmechanismen und wirksame Widerspruchsmöglichkeiten je Einsatzfall prüfen.
- Technische Einstellungen: Nicht benötigte Kameras, Mikrofone, Aufzeichnungen und KI-Funktionen deaktivieren.
- Interne Prüfung: Erforderlichkeit einer Datenschutz-Folgenabschätzung sowie Beteiligung von Datenschutz, Informationssicherheit und Betriebsrat klären.
Technisch empfiehlt der EDPB unter anderem, fortlaufende Aufnahmen und Speicherfristen zu begrenzen, unbeteiligte Personen zu verpixeln oder ihre Identifizierung zu vermeiden und Daten möglichst direkt auf dem Gerät zu verarbeiten.
Wo wir ansetzen
Smart Glasses sind nicht generell unzulässig. Ihr betrieblicher Einsatz lässt sich aber nicht pauschal freigeben, weil dieselbe Brille je nach Funktion, Datenfluss und Umgebung völlig unterschiedliche Risiken erzeugt.
Eine Navigation ohne Speicherung ist anders zu bewerten als eine dauerhafte Videoübertragung; eine lokale Objekterkennung unterscheidet sich von einer cloudbasierten Analyse durch mehrere Anbieter.
Unser Smart-Glasses-Check
Wir beginnen mit den tatsächlich vorgesehenen Einsatzszenarien. In einem strukturierten Smart-Glasses-Check:
- erfassen wir die Funktionen und Datenflüsse,
- bestimmen wir die datenschutzrechtlichen Rollen,
- prüfen wir Rechtsgrundlagen und den Bedarf einer Datenschutz-Folgenabschätzung,
- bewerten wir Anbieterunterlagen und technische Konfigurationsmöglichkeiten.
Am Ende steht ein konkretes Freigabekonzept mit zulässigen und ausgeschlossenen Einsätzen, technischen Mindestanforderungen, Transparenzmaßnahmen und Regeln für die betriebliche Nutzung.
