Smart Glasses DSGVO: Hamburg zu LED, Mikrofonen und KI-Widerspruch

Eine Brille ist ein schlechter Ort, um einen Datenschutzhinweis zu verstecken. Das ist die praktische Lehre aus dem Abschlussbericht der Hamburger Datenschutzbehörde vom 10. September 2026 zu den Ray-Ban Meta AI Glasses. Der Bericht ist nicht deshalb nützlich, weil er eine Zukunft der am Gesicht getragenen Überwachung vorhersagt. Er ist nützlich, weil er kleine Produktdetails als DSGVO-Fakten behandelt: was Menschen bemerken können, welche Audiodaten erfasst werden und wer die Daten später nutzen darf. Für Enterprise-Teams ist die Haushaltsausnahme der falsche Ausgangspunkt. Ein Gerät am Arbeitsplatz ist keine Urlaubskamera, selbst wenn es in einer Verbraucherbox ankommt. Wenn ein Mitarbeiter eine aufzeichnende Brille in der Nähe von Kollegen, Kunden oder Besuchern trägt, verschiebt sich die Compliance-Frage von persönlicher Nutzung zu organisatorischer Verarbeitung. Genau dort werden Beschaffungspräsentationen meist weniger fröhlich.

Was Hamburg tatsächlich geprüft hat

DataGuidance beschrieb die Arbeit des HmbBfDI als technische und datenschutzrechtliche Prüfung der Ray-Ban Meta AI Glasses, mit Schwerpunkt auf Rollen von Datenverantwortlichen, Herausforderungen bei der Einwilligung und möglicher Gesichtserkennung. PPC Land berichtete, dass die technische Analyse noch keine aktive Gesichtserkennung fand. Dieser Punkt ist wichtig, weil er eine tatsächliche Feststellung von der dramatischeren Version trennt, die in Datenschutz-Erzählungen kursiert.

Hamburg brauchte keine aktive Gesichtserkennung, um ein Problem zu finden. Laut der im Brief beschriebenen Hamburger Prüfung ist die Aufnahme-LED nur teilweise wahrnehmbar, fünf Mikrofone zeichnen bei jedem Video auf, und Opt-outs für KI-Training können die Verantwortung mit Meta beeinflussen. In Pflichten fürs Büro übersetzt heißt das: Ein Licht, das manche Menschen übersehen, ist kein Hinweisprogramm. Audio ist nicht nebensächlich, nur weil die Kamera die Funktion ist, die alle für die Beschaffungsnotiz fotografieren. Und eine Einstellung zum KI-Training ist kein dekorativer Datenschutz-Schalter, wenn sie verändert, wer für nachgelagerte Verarbeitung verantwortlich ist.

PPC Land berichtete außerdem, dass sich KI-Trainingsdaten bei Daten von umstehenden Personen nicht so auf Einwilligung oder berechtigtes Interesse stützen können, wie Meta es bräuchte. Das ist der schärfere Punkt für Entwickler. Die Person im Hintergrund hat nicht an der Einführung teilgenommen, hat die Richtlinie nicht erhalten und weiß möglicherweise nicht, dass das Gerät aufzeichnet. Einwilligungstheater wird nicht besser, wenn es auf dem Nasenrücken einer Person montiert ist.

Warum die Haushaltsausnahme am Arbeitsplatz scheitert

heise online fasste das Risiko deutlich zusammen: Wer unbeteiligte Dritte mit Smart Glasses filmt oder Metas KI-Training zulässt, verliert das Privileg der Haushaltsausnahme. Die Haushaltsausnahme ist eng. Sie schützt rein persönliche oder familiäre Tätigkeiten, nicht ein Gerät, das innerhalb einer Organisation genutzt wird, um arbeitsbezogene Aufnahmen zu erstellen, zu teilen, zu analysieren oder wiederzuverwenden. Die Brille als Verbraucherhardware zu bezeichnen, macht die Verarbeitung nicht privat.

Die praktische Folge ist, dass Enterprise-Einführungen eine Rechtsgrundlage, Transparenz und eine Analyse der Verantwortlichen brauchen, bevor der erste Pilot startet. Das bedeutet nicht, dass jede Nutzung verboten ist. Es bedeutet, dass die Organisation erklären muss, was aufgezeichnet wird, wann Audio aktiv ist, wer die Ausgabe erhält und ob Metas KI-Training aktiviert oder vermieden wird. Wenn die Antwort lautet, dass der Träger es informell handhaben wird, ist die Richtlinie bereits bei ihrer ersten Audit-Probe gescheitert.

Der Verweis von DataGuidance auf die Rollen der Verantwortlichen leistet hier echte Arbeit. Wenn der Arbeitgeber den Anwendungsfall definiert und vom Ergebnis profitiert, sollte er nicht annehmen, dass Meta die gesamte DSGVO-Last trägt. Wenn Meta Daten für eigene KI-Zwecke nutzt, ändert sich die Analyse erneut. Deshalb ist die Opt-out-Frage wichtig: Sie ist keine in Einstellungen vergrabene Nutzerpräferenz, sondern kann ein Hinweis auf Verantwortung sein.

Was Entwickler vor einem Pilot ändern sollten

Der Workplace Privacy, Data Management and Security Report weist darauf hin, dass moderne KI-Brillen Video und Audio aufzeichnen, Gespräche in Echtzeit mit KI-Assistenten verarbeiten und biometriebezogene Funktionen ausführen können. Das reicht aus, um einen Wearable-Piloten von der Ausgabe eines Headsets oder eines Badge-Scanners zu unterscheiden. Das Gerät beobachtet Menschen, die es nicht gewählt haben. Der Compliance-Rahmen umfasst daher umstehende Personen, nicht nur den Mitarbeiter, der das Gestell trägt.

Für Produkt- und IT-Teams lassen sich die Hamburger Feststellungen in vier einfache Prüfungen übersetzen. Erstens: Verlassen Sie sich nicht allein auf die Aufnahme-LED, wenn die Aufsichtsbehörde sagt, dass sie nur teilweise wahrnehmbar ist. Zweitens: Behandeln Sie die Mikrofonerfassung als primären Datenfluss, nicht als Fußnote zum Video. Drittens: Entscheiden Sie vor der Einführung, ob Nutzungen für KI-Training deaktiviert, eingeschränkt oder gesondert bewertet werden. Viertens: Schreiben Sie auf, wer für jede relevante Nutzung Verantwortlicher, Auftragsverarbeiter oder eigenständiger Verantwortlicher ist.

AI Business berichtete am 5. März 2026, dass Abgeordnete des Europäischen Parlaments und das Information Commissioner's Office des Vereinigten Königreichs Bedenken äußerten, nachdem schwedische Medien berichtet hatten, dass beauftragte Subunternehmer sensible Inhalte ansahen, die von KI-Brillen aufgezeichnet worden waren. Dieser Bericht ist nicht dasselbe wie der Hamburger Abschlussbericht, weist aber auf dieselbe Enterprise-Lektion hin. Sobald Aufzeichnungen das Geräte-Ökosystem für Kennzeichnung, Prüfung, Verbesserung oder Training verlassen, geht es in der Datenschutzgeschichte nicht mehr um die Person, die die Brille trägt. Es geht um die Verarbeitungskette.

Die Compliance-Frist liegt vor der Bestellung

PPC Lands Darstellung der Hamburger Prüfung sagt, das Problem sei die Exposition umstehender Personen ohne Einwilligung, während heise online die Konsequenz als Verlust der Haushaltsausnahme beschreibt, wenn unbeteiligte Dritte gefilmt werden oder Meta-KI-Training erlaubt ist. Zusammengenommen ist die Lehre ziemlich trocken und ziemlich brauchbar. Smart Glasses werden nicht DSGVO-sicher, weil sie normal aussehen. Sie werden nur handhabbar, wenn die Organisation Hinweis, Audio, Zweck, Verantwortung und Entscheidungen zum KI-Training im Voraus erklären kann.

Als Nächstes ist zu beobachten, ob andere europäische Aufsichtsbehörden Hamburgs Einordnung für Einsätze am Arbeitsplatz übernehmen. Wenn sie das tun, wird die Frage für Entwickler nicht sein, ob Wearables spannend sind. Sie wird sein, ob die Einführung die erste Beschwerde eines Mitarbeiters, den ersten Auskunftsantrag eines Besuchers oder die erste Due-Diligence-Prüfung eines Anbieters übersteht. Das ist ein weniger glamouröser Maßstab, woran man normalerweise erkennt, dass es der relevante ist.