Der Europäische Datenschutzausschuss (EDSA) hat am 13.10.2026 eine Stellungnahme zu Smart Glasses veröffentlicht. Sie benennt die zentralen datenschutzrechtlichen Konfliktlinien der Technologie und ordnet sie praxisnah ein. Dieser Beitrag zeigt, welche Aussagen tragend sind und welche Folgen sich für Hersteller, Unternehmen und Privatpersonen abzeichnen, wenn Datenbrillen in Alltag und Betrieb ankommen.
Was besagt die EDSA-Stellungnahme zu Smart Glasses?
Der EDSA versteht unter Smart Glasses tragbare Geräte, die wie gewöhnliche Brillen oder Sonnenbrillen aussehen und zugleich Rechenleistung sowie Funktionen wie Kameras, Lautsprecher, Mikrofone und Software enthalten. Dazu zählen auch KI-Systeme, etwa für Übersetzungen oder die Erkennung von Objekten. Sobald solche Geräte Informationen über identifizierte oder identifizierbare Personen erfassen, speichern oder anderweitig verarbeiten, liegt eine Verarbeitung personenbezogener Daten vor, und die DSGVO ist anwendbar. Welche praktischen Schritte Datenschutzbeauftragte bei der Einführung im Unternehmen beachten sollten, haben wir kürzlich beschrieben. Die Stellungnahme des EDSA liefert dazu nun die europäische Einordnung.
Das zentrale Problem liegt nach Auffassung des Ausschusses in der Bauart. Smart Glasses erlauben eine nahezu unsichtbare Erhebung von Daten, weil sie kaum von einer normaler Sehhilfe zu unterscheiden sind. Leistungsfähige Mikrofone können Gespräche aufnehmen, an denen die tragende Person nicht beteiligt ist. Werden Gesichts- oder Stimmerkennung ergänzt, entsteht nach Einschätzung des EDSA ein hohes Risiko für Rechte und Freiheiten im öffentlichen Raum. Hinzu kommt ein sozialer Effekt: Menschen ändern ihr Verhalten, unterdrücken Spontaneität und passen sich an, wenn sie eine unkontrollierte Beobachtung vermuten.
Besonders sensibel ist der Einsatz nach der Stellungnahme in bestimmten Umgebungen:
- medizinische Einrichtungen
- Schulen und andere Orte, an denen Minderjährige anwesend sind
- Umkleiden, Schwimmbäder, Strände und Sanitärbereiche
- der Arbeitsplatz, wo Fragen der Mitarbeiterkontrolle sowie des Schutzes von Geschäftsgeheimnissen aufkommen
Wer ist bei Smart Glasses datenschutzrechtlich verantwortlich?
Die Verantwortlichkeit kann mehrere Akteure treffen: die nutzende Person, den Hersteller des Geräts sowie den Anbieter einer verknüpften Anwendung oder eines verknüpften Dienstes samt KI-System. Je nach Konstellation handelt ein Akteur allein verantwortlich, in anderen Fällen liegt eine gemeinsame Verantwortlichkeit vor. Entscheidend ist, wer über Zwecke und Mittel der Verarbeitung bestimmt.
Für private Trägerinnen und Träger greift häufig die sogenannte Haushaltsausnahme. Wer eine Aufnahme ausschließlich mit Familie oder Freunden teilt oder die Brille zur persönlichen Übersetzung im privaten Umfeld nutzt, unterliegt nicht der DSGVO. Diese Ausnahme ist allerdings eng auszulegen und im Einzelfall zu prüfen. Sie entfällt beispielsweise, wenn Bilder oder Videos über ein öffentliches Social-Media-Konto einem unbestimmten Personenkreis zugänglich gemacht werden oder wenn der Einsatz beruflich, amtlich oder politisch erfolgt. Dann wird die nutzende Person selbst verantwortlich und muss alle Pflichten der DSGVO erfüllen, insbesondere die Transparenzpflichten. Unabhängig davon können weitere Rechtsnormen greifen, bis hinein ins Strafrecht.
Für Hersteller und Anbieter liegt hier die wohl deutlichste Weiterentwicklung. In unserem Augustbeitrag hatten wir darauf hingewiesen, dass das Datenschutzrecht keine Herstellerhaftung kennt und die Verantwortung bei den Nutzenden liegt. Der EDSA stellt nun klar, dass Hersteller und Anbieter verknüpfter Dienste selbst als eigenständige oder gemeinsam Verantwortliche einzuordnen sind, soweit sie Zwecke und Mittel bestimmen. Analysiert etwa ein KI-Dienst das Kamerabild, um der nutzenden Person die Umgebung zu erklären, verarbeitet er dabei regelmäßig Daten unbeteiligter Dritter. Solche Verantwortlichen dürfen sich nach der Stellungnahme nicht auf das Verhalten ihrer Kundschaft berufen, um eigene Pflichten zu erfüllen.
Warum sind Transparenz und Rechtsgrundlagen so schwierig?
Transparenz bezeichnet der Ausschuss als die größte Herausforderung. Unbeteiligte Dritte, in der Stellungnahme als „non-users“ bezeichnet, erkennen oft nicht, dass Daten über sie verarbeitet werden, von wem und zu welchem Zweck. Klassische Datenschutzhinweise helfen nicht weiter, da zwischen Hersteller und zufällig anwesenden Personen keine Beziehung besteht. Damit bestätigt der EDSA auf europäischer Ebene jenen Befund, den wir im August anhand der technischen Prüfung des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit zum schwach wahrnehmbaren LED-Signal dargestellt hatten. Wörtlich heißt es, der derzeitige Stand der Technik bei Anzeigeelementen lasse viele nicht aktive Nutzerinnen und Nutzer im Unklaren darüber, dass ihre Daten verarbeitet werden.
Empfohlen wird daher eine Kombination mehrerer Mechanismen, die möglichst standardmäßig aktiv und schwer abschaltbar sind:
- Visuelle Anzeigen: LED-Signale, die bei unterschiedlichen Lichtverhältnissen sichtbar sind, lange genug leuchten und bei Abdeckung die Aufnahme blockieren.
- Akustische Signale: Auslösetöne oder verpflichtende Sprachbefehle, vergleichbar dem Klickgeräusch einer Kamera.
- Benachrichtigung über das Smartphone: Hinweise durch Erkennung von Bluetooth-Kennungen, die jedoch niemals das einzige Mittel sein dürfen und kein Tracking ermöglichen sollen.
- Gestaltung der Brille: Designmerkmale, die eine Datenbrille von einer gewöhnlichen Brille unterscheidbar machen.
Bei der Rechtsgrundlage verlangt der EDSA eine Einzelfallbetrachtung. Eine Einwilligung kommt in Betracht und ist dort naheliegend, wo nationales Recht ein Recht am eigenen Bild schützt. Gegenüber unbeteiligten Dritten ist sie praktisch kaum einzuholen, zudem wäre eine nachträgliche Einwilligung unwirksam, weil die Rechtsgrundlage vor und während der Verarbeitung vorliegen muss. Berechtigte Interessen erfordern eine sorgfältige Abwägung mit den Erwartungen der Betroffenen. Besonders schwer begründbar sind nach der Stellungnahme kommerzielle Weiterverwendungen, die über den angeforderten Dienst hinausgehen, sowie das Training von KI-Modellen. Zusätzlich muss ein wirksamer Widerspruch möglich bleiben.
Welche Marktperspektive eröffnet die EDSA-Stellungnahme?
Für Hersteller verschiebt sich der Schwerpunkt in Richtung Datenschutz durch Technikgestaltung. Der Ausschuss weist auf Datenminimierung durch begrenzte Aufnahmedauer und kurze Speicherfristen hin. Zu beachten sind natürlich auch datenschutzfreundliche Voreinstellungen, beispielsweise das Unkenntlichmachen unbeteiligter Personen oder eine möglichst lokale Verarbeitung auf dem Gerät. Diese Punkte lesen sich wie eine Anforderungsliste an künftige Produktgenerationen und decken sich weitgehend mit den Kriterien, die sich im Beschaffungsprozess formulieren lassen.
Hinzu kommt ein breiteres regulatorisches Umfeld. Smart Glasses können als Endeinrichtung gelten, womit der ePrivacy-Rahmen anwendbar wird, etwa wenn Sensoren Daten lokal speichern oder standardmäßig an einen Server übermitteln. Parallel greifen nationales Straf-, Zivil- und Arbeitsrecht sowie sektorspezifische Regeln. Verstöße dagegen können nach Auffassung des EDSA auch die Fairness der Verarbeitung nach der DSGVO in Frage stellen. In mehreren Jurisdiktionen werden zudem Nutzungsverbote und Gesetzesvorhaben für tragbare Aufnahmegeräte diskutiert.
Der EDSA kündigt an, die Thematik weiter zu analysieren, auch im Zusammenhang mit anderen Videotechnologien wie Türklingelkameras, Dashcams, Bodycams und Sprachassistenten. Zugleich empfiehlt er branchenweite Standards und Aufklärungskampagnen, damit Menschen Datenbrillen erkennen und einordnen können.
Nicht verbindlich, aber die Perspektive ändert sich
Die Stellungnahme ist keine verbindliche Leitlinie, sondern eine vorläufige Positionierung. Sie markiert jedoch die Linie, an der sich Aufsichtsbehörden in Europa künftig orientieren dürften: Verantwortlichkeit entsteht früher als vielfach angenommen, Transparenz gegenüber unbeteiligten Personen ist mit heutigen Mitteln kaum zureichend gelöst, und eine Weiterverwendung der Aufnahmen für KI-Training steht unter erheblichem Begründungsdruck.
Gegenüber unserem Beitrag aus August dieses Jahres verschiebt sich die Perspektive damit vor allem von der Verantwortung der nutzenden Unternehmen hin zu einer eigenständigen Pflichtenstellung der Hersteller und Dienstanbieter. Die dort beschriebenen Schritte, insbesondere Datenschutz-Folgenabschätzung, Prüfung der Rechtsgrundlage, Erkennbarkeit der Aufnahme sowie Betriebsvereinbarung und Mitbestimmung, bleiben davon unberührt und erhalten durch die Stellungnahme zusätzliche Begründung. Weitere Konkretisierungen durch den EDSA sind angekündigt.
