Smart Glasses im Unternehmen: Hamburger Prüfbericht schränkt die DSGVO-Haushaltsausnahme ein

Ein Dienstleister kommt zur Wartung in den Serverraum und trägt eine gewöhnlich wirkende Brille. Ein Mitarbeiter nutzt im Fernsupport eine Kamerabrille, um dem Kollegen vor Ort die Hände frei zu lassen. Ein Besucher sitzt mit demselben Gestell im Besprechungsraum, in dem gerade Kundendaten auf dem Tisch liegen. In allen drei Fällen entscheidet nicht das Gerät darüber, wer haftet, sondern die Frage, in wessen Auftrag aufgezeichnet wird. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat dazu am 10. September 2026 einen 55 Seiten starken Abschlussbericht vorgelegt, der die Ray-Ban Meta AI Glasses technisch zerlegt und datenschutzrechtlich bewertet. Für IT-Verantwortliche ist vor allem eine Aussage praxisrelevant: Die vielzitierte Haushaltsausnahme der DSGVO trägt im betrieblichen Kontext nicht, und beim KI-Training des Herstellers trägt sie auch privat nicht mehr.

Was hat die Aufsichtsbehörde geprüft?

Untersuchungsgegenstand war exemplarisch das Modell Ray-Ban Meta Wayfarer (Gen 1) aus dem Jahr 2023. Ein interdisziplinäres Team aus den Bereichen Soziale Netzwerke, Technischer Datenschutz und Rechtsfragen zu KI-Anwendungen hat das Gerät in mehreren Stufen analysiert. Die Behörde hat die Struktur der Meta-AI-Begleit-App nachvollzogen, Datenübermittlungen der App mitgeschnitten und die Brille schließlich zerlegt, um die Bauteile zu untersuchen.

Der Bericht benennt seine eigenen Grenzen ausdrücklich. Die Datenübermittlungen blieben weitgehend verschlüsselt, und der Speicherchip der Brille verfügt über keine gängigen Anschlüsse, die ein Auslesen ermöglicht hätten. Auswertbar war vor allem der Applikationsspeicher der Meta-AI-App. Eine berufliche Nutzung abseits von Content-Creators und Influencern hat die Behörde nicht näher untersucht, und die bei Meta selbst stattfindenden Verarbeitungsvorgänge bewertet der Bericht nicht. Wer den Bericht liest, sollte diese Einschränkungen mitlesen, statt ihn als vollständige Produktprüfung zu verstehen.

Was die Technikprüfung ergeben hat

Die Hardwareausstattung ist für ein Brillengestell bemerkenswert dicht. Der Bericht nennt konkret:

• eine 12-Megapixel-Weitwinkelkamera
• fünf Mikrofone, davon je zwei in den Bügeln und eines am Nasenrücken
• zwei Lautsprecher sowie ein Touchpanel zur Bedienung
• 32 GB Flash-Speicher, Akku, WLAN- und Bluetooth-Adapter
• zusätzliche Sensorik wie ein Gyroskop, das Bewegungsdaten erfassen kann

Besonders relevant für die betriebliche Bewertung ist die Audioseite. Nach den Feststellungen der Behörde werden bei jeder Videoaufnahme gleichzeitig die Mikrofone aktiviert. Meta nutzt dabei sogenanntes Spatial Audio, sodass Tondaten in hoher Klarheit bis zu einer Entfernung von rund zwei Metern aus verschiedenen Richtungen und Höhen miterhoben werden. Der Bericht hält fest, dass die menschliche Stimme ein personenbezogenes Datum ist und unter Umständen auch ein biometrisches Datum im Sinne von Art. 4 Nr. 14 DSGVO sein kann.

Die nach außen gerichtete Aufnahme-LED hat die Behörde gesondert geprüft. Sie leuchtet bei Foto- und Videoaufnahmen, bei Liveübertragungen auf Instagram und Facebook sowie bei Videocalls. Bei reiner Nutzung von Meta AI, also etwa bei Fragen zur Umgebung oder zu Personen im Sichtfeld, leuchtet sie bei der Gen 1 nur relativ schwach und bei der neueren Gen 2 laut Bericht gar nicht. Bei einem Foto leuchtet die LED etwa eine Sekunde auf. Generationenübergreifend gilt nach der Prüfung: Das Licht ist in vielen Umgebungen nicht gut erkennbar, insbesondere im Außenbereich und bei Sonneneinstrahlung, und der Abstrahlwinkel ist begrenzt. Eine Signalwirkung entfaltet die LED daher regelmäßig nur bei Personen, die in direkter Nähe stehen und nahezu frontal auf die Brille blicken. Meta gibt an, die Kamera werde bei verdeckter LED über einen eigenen Lichtsensor deaktiviert. Die Untersuchung kommt zu dem Ergebnis, dass die Technik es dennoch zulässt, das Aufnahmelicht zu unterdrücken.

Auffällig war für die Prüfer der Fund von Datenbanktabellen, deren Bezeichnung auf Gesichtserkennung hindeutet. Diese Tabellen enthielten keine Einträge. Die Behörde geht deshalb davon aus, dass jedenfalls bislang keine Gesichtserkennung stattfindet, weist aber darauf hin, dass grundlegende Strukturen für eine solche Funktion in der Software bereits angelegt sind. Ergänzend verweist der Bericht auf Veröffentlichungen der Electronic Frontier Foundation und von WIRED aus dem Juni 2026, wonach sich per manueller Interaktion ein Abgleich mit bereits bekannten Gesichtern habe auslösen lassen. Meta habe die Software kurz darauf so geändert, dass dies nicht mehr reproduzierbar sei. Diese Zusatzinformation stammt aus den zitierten Berichten und nicht aus eigener Messung der Behörde.

Für die Löschpraxis ist ein weiterer Befund wichtig: Selbst wenn Nutzende sämtliche Chats im Meta-AI-Chat löschen, bleiben die zugehörigen Anfragen im sogenannten Sprachaktivitäten-Protokoll gespeichert, das sich an anderer Stelle der App befindet. Eine vollständige Bereinigung erfordert also zwei getrennte Vorgänge.

Warum die Haushaltsausnahme kippt

Die Haushaltsausnahme nach Art. 2 Abs. 2 lit. c DSGVO nimmt die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vom Anwendungsbereich der Verordnung aus. Der Bericht betont, dass diese Ausnahme eng auszulegen ist, und stützt sich dabei auf die Rechtsprechung des EuGH in den Verfahren Ryneš, Lindqvist und Buivids sowie auf die Leitlinien 3/2019 des Europäischen Datenschutzausschusses zur Verarbeitung personenbezogener Daten durch Videogeräte.

Entscheidend ist laut Bericht nicht die subjektive Vorstellung der aufnehmenden Person, sondern die objektiv erkennbare Zweckrichtung im Einzelfall. Ausdrücklich genannte Abgrenzungskriterien sind die Öffentlichkeit der Daten, der räumliche Kontext, mögliche nachteilige Auswirkungen auf Betroffene, insbesondere durch heimliche Aufnahmen, und eine Gesamtbetrachtung aller Umstände. Werden Daten einem unbestimmten Personenkreis zugänglich gemacht, etwa durch Veröffentlichung im Internet, greift die Ausnahme nicht.

Zwei Konstellationen sind für Unternehmen besonders wichtig. Erstens stellt der Bericht klar, dass Nutzende, die Smart Glasses im beruflichen oder gewerblichen Kontext einsetzen, stets als Verantwortliche gelten und die DSGVO umfassend beachten müssen. Zweitens ist die Haushaltsausnahme regelmäßig ausgeschlossen, wenn personenbezogene Daten betroffener Dritter zum Zweck des KI-Trainings an Meta übermittelt werden, weil dann ein eigenständiger, nicht privater Zweck eines Dritten hinzutritt. Wer dem KI-Training nicht widerspricht, wird nach der Bewertung der Behörde hinsichtlich der Trainingsdaten zum gemeinsamen Verantwortlichen mit Meta. Der Widerspruch gegen das Training deaktiviert die Nutzung von Meta AI selbst nicht.

Die Gesamtbewertung des Berichts fällt deutlich aus: Bei den praktisch relevanten Nutzungskonstellationen ist davon auszugehen, dass die erkennbare Aufnahme von Personen außerhalb des engen Freundes- und Familienkreises datenschutzrechtlich bis auf seltene Konstellationen des berechtigten Interesses nicht zulässig sein wird, weil eine informierte Einwilligung mangels Transparenz in der Realität nicht eingeholt werden kann. Für das KI-Training durch Meta wird es nach der Einschätzung der Behörde regelmäßig an einer Rechtsgrundlage fehlen.

Als Konsequenz verlangt der Bericht zusätzliche Maßnahmen nach Art. 24 und Art. 32 DSGVO, damit Betroffene rechtzeitig und gut erkennbar über Video- und Tonaufnahmen informiert werden. Genannt werden aktive Ansprache, Piktogramme oder das Tragen einer Warnweste mit klarer Aufschrift. Die Behörde orientiert sich dabei an der Orientierungshilfe der Datenschutzkonferenz zu Bodycams und hält solche Maßnahmen insbesondere bei Aufnahmen im beruflichen oder gewerblichen Kontext für unumgänglich.

Für wen ist das relevant?

Der Prüfbericht betrifft unmittelbar die Ray-Ban Meta AI Glasses, die dort beschriebenen Mechanismen lassen sich aber auf vergleichbare Kamerabrillen übertragen. Handlungsbedarf besteht vor allem in diesen Konstellationen:

• Unternehmen, die Smart Glasses selbst beschaffen, etwa für Wartung, Kommissionierung, Schulung oder Fernsupport durch Techniker
• Betriebe mit Publikumsverkehr, in denen Besucher, Kunden oder Dienstleister eigene Geräte mitbringen können
• Organisationen mit besonders schutzbedürftigen Bereichen, etwa Personalabteilung, Betriebsrat, Rechenzentrum, Besprechungsräume oder Arbeitsplätze mit sichtbaren Kundendaten
• Auftragsverarbeiter, die beim Kunden vor Ort arbeiten und dort fremde Daten ins Sichtfeld bekommen
• Arbeitgeber, bei denen Beschäftigte private Geräte mit ins Büro bringen und im Arbeitsumfeld nutzen

Ebenso wichtig ist die Gegenrichtung. Ein Unternehmen ohne Smart-Glasses-Einsatz, ohne Publikumsverkehr und ohne externe Dienstleister im schutzbedürftigen Bereich hat aus diesem Bericht keinen akuten Handlungsbedarf. Dort genügt es, das Thema bei der nächsten turnusmäßigen Überarbeitung der IT-Nutzungsrichtlinie präventiv mit aufzunehmen, statt kurzfristig ein eigenes Projekt aufzusetzen.

Wie dringend ist das?

Das ist kein Sicherheitsvorfall und keine Schwachstelle. Es gibt keinen Patch, keine betroffene Version und keinen Hinweis auf eine aktive Ausnutzung. Wer heute keine Smart Glasses im Einsatz hat, muss nichts über Nacht ändern.

Dringlich wird es an zwei Stellen. Wenn in Ihrem Unternehmen bereits Kamerabrillen produktiv genutzt werden, ohne dass Rechtsgrundlage, Information der Betroffenen und Verzeichnis der Verarbeitungstätigkeiten geklärt sind, besteht ein laufendes Risiko, und zwar unabhängig von diesem Bericht. Und wenn solche Geräte gerade beschafft werden sollen, gehört die Prüfung vor die Bestellung und nicht danach. Die Behörde bewertet in ihrem Bericht das Aufnahmeverhalten des Geräts, sie erteilt aber keine Freigabe für einzelne betriebliche Szenarien. Die konkrete rechtliche Bewertung hängt vom Einzelfall ab und sollte mit dem eigenen Datenschutzbeauftragten oder rechtlich beraten abgestimmt werden. Dieser Artikel ordnet ein und ersetzt keine Rechtsberatung.

Was sollten Unternehmen jetzt tun?

Die folgenden Schritte sind nach Aufwand und Wirkung sortiert. Die ersten beiden Punkte lassen sich meist innerhalb weniger Tage erledigen.

• Bestand klären. Erfassen Sie, ob und wo Kamerabrillen bereits eingesetzt werden, betrieblich beschafft oder privat mitgebracht. Ohne diese Inventur ist jede weitere Maßnahme Spekulation.
• Rolle und Rechtsgrundlage bestimmen. Sobald ein Gerät im Rahmen einer beruflichen Tätigkeit genutzt wird, ist das Unternehmen Verantwortlicher. Daran hängen Rechtsgrundlage, Information der Betroffenen nach Art. 13 DSGVO und der Eintrag im Verzeichnis von Verarbeitungstätigkeiten.
• Datenschutz-Folgenabschätzung prüfen. Fachliche Einschätzungen gehen davon aus, dass eine DSFA nach Art. 35 DSGVO in den meisten Einsatzszenarien verpflichtend ist. Klären Sie das vor der Beschaffung, nicht im Nachgang.
• Audiofunktion gesondert behandeln. Nach den Feststellungen des Berichts laufen die Mikrofone bei jeder Videoaufnahme mit. Das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes ist nach Paragraph 201 StGB mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bedroht, und bereits der Versuch ist strafbar. Anders als die DSGVO trifft das die handelnde Person persönlich. Tonaufnahmen sollten im betrieblichen Einsatz daher grundsätzlich deaktiviert oder ausdrücklich freigegeben werden.
• KI-Training abschalten und die Einstellung dokumentieren. Wird dem KI-Training nicht widersprochen, werden Nutzende nach der Bewertung des Berichts hinsichtlich der Trainingsdaten gemeinsam Verantwortliche mit Meta. Im Unternehmenseinsatz ist der Widerspruch deshalb zwingend, und der gesetzte Zustand gehört überprüft und dokumentiert, weil er an Konto und Gerät hängt.
• Erkennbarkeit aktiv herstellen. Verlassen Sie sich nicht auf die LED. Der Bericht verlangt zusätzliche Maßnahmen nach Art. 24 und 32 DSGVO, etwa aktive Ansprache, Piktogramme oder deutlich sichtbare Kennzeichnung.
• Verbotszonen definieren und beschildern. Legen Sie Bereiche fest, in denen Aufnahmegeräte ausgeschaltet bleiben müssen, typischerweise Serverraum, Personalabteilung, Besprechungsräume, Wartebereiche und Arbeitsplätze mit einsehbaren Kundendaten. Die Regel muss auch für Besucher und externe Dienstleister gelten und sollte in Werkvertrags- oder Auftragsverarbeitungsunterlagen auftauchen.
• Regelung schriftlich verankern. Nehmen Sie Smart Glasses in die IT-Nutzungsrichtlinie auf oder regeln Sie sie in einer Betriebsvereinbarung. Dort gehört hinein, wann die Nutzung erlaubt ist, welche Funktionen aktiviert sein dürfen und wie mit Aufnahmen umgegangen wird.
• Betriebsrat frühzeitig einbinden. Systeme, die zur Überwachung von Verhalten oder Leistung der Beschäftigten geeignet sind, unterliegen der Mitbestimmung nach Paragraph 87 Abs. 1 Nr. 6 BetrVG. Eine Kamerabrille am Arbeitsplatz fällt nach fachlicher Einschätzung regelmäßig darunter. Ohne Beteiligung ist die Einführung angreifbar.
• Beschäftigte aufklären. Eine kurze, konkrete Unterweisung wirkt hier stärker als ein langes Dokument. Wichtig sind drei Punkte: Ton ist heikler als Bild, Erkennbarkeit muss aktiv hergestellt werden, und die Haushaltsausnahme greift im Dienst nicht.
• Löschprozess mitdenken. Prüfen Sie, wo Aufnahmen und Sprachprotokolle tatsächlich liegen. Die Prüfung zeigt, dass eine Löschung an zwei getrennten Stellen nötig sein kann, damit Anfragen nicht im Sprachaktivitäten-Protokoll verbleiben.

Einordnung für Unternehmen

Der eigentliche Wert des Berichts liegt darin, dass eine Aufsichtsbehörde erstmals technisch belegt, was bisher vor allem Vermutung war: Die eingebaute Transparenzanzeige reicht nicht aus, um Betroffene zu informieren. Damit verschiebt sich die Last. Wer aufnimmt, muss die Erkennbarkeit selbst herstellen, und das ist im betrieblichen Alltag ein organisatorisches Thema, kein technisches.

Für kleine und mittlere Unternehmen ist das gut beherrschbar, solange es früh angefasst wird. Die teure Variante ist, ein Pilotprojekt für Fernwartung oder Schulung erst nach der Beschaffung datenschutzrechtlich zu bewerten und dann festzustellen, dass Rechtsgrundlage, Mitbestimmung und Erkennbarkeit nachgezogen werden müssen. Die günstige Variante ist eine halbe Seite in der IT-Nutzungsrichtlinie, die klarstellt, welche Geräte wo erlaubt sind, plus ein Beschaffungsschritt, der die Datenschutz-Folgenabschätzung vor die Bestellung setzt.

Ein Punkt bleibt unbequem und sollte offen benannt werden: Das Datenschutzrecht kennt keine Herstellerhaftung für solche Geräte. Verantwortlich sind diejenigen, die sie einsetzen. Genau deshalb ist die Frage, ob im Besprechungsraum eine Kamerabrille auf dem Tisch liegt, keine Geschmacksfrage, sondern eine Zuständigkeitsfrage. Sie sollte beantwortet sein, bevor sie zum ersten Mal praktisch auftritt.

Passende Anleitungen auf S-EDV

• KI-Nutzungsrichtlinie im Unternehmen erstellen zeigt den Aufbau einer internen Richtlinie, in der sich Regeln zu Aufnahmegeräten und KI-Diensten sauber unterbringen lassen.
• DSGVO: technische und organisatorische Maßnahmen in der Auftragsverarbeitung hilft bei der Frage, wie Vorgaben für externe Dienstleister vertraglich und praktisch verankert werden.
• DSGVO-Löschpflichten für Backups und Logfiles ordnet ein, wie Löschfristen und Nachweispflichten in der Praxis umgesetzt werden, wenn Daten an mehreren Stellen liegen.

Quellen

• HmbBfDI: Ray-Ban Meta AI Glasses, HmbBfDI legt technischen und datenschutzrechtlichen Prüfbericht vor (10.09.2026)
• HmbBfDI: Abschlussbericht zur technischen und datenschutzrechtlichen Untersuchung der Ray-Ban Meta AI Glasses (PDF, 10.09.2026)
• Dr. Datenschutz: Smart Glasses, was Datenschutzbeauftragte beachten müssen (13.08.2026)
• Paragraph 201 StGB, Verletzung der Vertraulichkeit des Wortes