Smart Glasses entwickeln sich zunehmend von einer technischen Spielerei zu einem ernst zu nehmenden Arbeitsmittel. Kameras, Mikrofone, Displays und künstliche Intelligenz können inzwischen in Brillen integriert werden, die sich äußerlich kaum noch von gewöhnlichen Brillen unterscheiden.

Für Sicherheitsunternehmen eröffnet diese Technik interessante Möglichkeiten. Ein Sicherheitsmitarbeiter könnte Einsatzinformationen unmittelbar in seinem Sichtfeld erhalten, Eintrittskarten kontrollieren, mit der Leitstelle kommunizieren oder auf gesuchte beziehungsweise nicht zutrittsberechtigte Personen hingewiesen werden.

Was technisch möglich ist, ist jedoch nicht automatisch rechtlich zulässig. Insbesondere das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), die Datenschutz-Grundverordnung (DSGVO), das Bundesdatenschutzgesetz (BDSG) und bei KI-Systemen zusätzlich der europäische AI Act setzen Grenzen.

Von Google Glass zur KI-Brille

Google Glass zeigte bereits vor mehr als einem Jahrzehnt, welche gesellschaftlichen Fragen eine Kamera direkt vor den Augen ihres Trägers aufwerfen kann. Inzwischen sind Kameras und Elektronik erheblich kleiner geworden.

Moderne Smart Glasses können beispielsweise:

• Fotos und Videos aufnehmen,
• Bilder an eine Leitstelle übertragen,
• QR-Codes und Tickets lesen,
• Gegenstände mittels KI erkennen,
• Informationen im Sichtfeld einblenden,
• mit anderen Einsatzkräften kommunizieren,
• Gesichter analysieren und
• theoretisch Personen automatisiert identifizieren.

Gerade die letzten beiden Punkte verändern die rechtliche Bewertung grundlegend.

Es besteht ein erheblicher Unterschied zwischen einer Brille, die einem Sicherheitsmitarbeiter einen Lageplan anzeigt, und einem System, das permanent die Gesichter sämtlicher Veranstaltungsbesucher analysiert.

§ 8 TDDDG: Wann wird eine Kamerabrille zum Problem?

Eine Besonderheit des deutschen Rechts findet sich in § 8 TDDDG – Missbrauch von Telekommunikationsanlagen.

Die Vorschrift verbietet unter bestimmten Voraussetzungen Telekommunikationsanlagen, die einen anderen Gegenstand vortäuschen oder mit Gegenständen des täglichen Gebrauchs verkleidet sind und aufgrund dieser Umstände oder ihrer Funktionsweise besonders geeignet und dazu bestimmt sind, unbemerkt das nicht öffentlich gesprochene Wort abzuhören oder Bilder anderer Personen aufzunehmen.

Besonders interessant für Smart Glasses ist § 8 Abs. 2 TDDDG. Danach gilt eine Anlage insbesondere dann als zum unbemerkten Abhören oder Aufnehmen bestimmt, wenn ihre entsprechende Funktion beim bestimmungsgemäßen Gebrauch für den Betroffenen nicht eindeutig erkennbar ist.

Damit stellt sich bei einer modernen Kamerabrille nicht nur die Frage:

Ist die Kamera irgendwo sichtbar?

Entscheidend kann vielmehr sein:

Kann die betroffene Person eindeutig erkennen, dass eine Aufnahmefunktion vorhanden beziehungsweise aktiv ist?

Das kann insbesondere bei Brillen problematisch werden, die äußerlich nahezu wie gewöhnliche Korrektur- oder Sonnenbrillen aussehen.

§ 8 TDDDG sollte deshalb bereits bei der Auswahl der Hardware berücksichtigt werden. Die Vorschrift betrifft unter ihren Voraussetzungen nicht erst eine missbräuchliche Aufnahme, sondern unter anderem bereits Besitz, Herstellung, Bereitstellung auf dem Markt und Einfuhr entsprechender Anlagen.

Für ein privates Sicherheitsunternehmen besteht auch keine allgemeine Ausnahme allein deshalb, weil die Technik Sicherheitszwecken dient.

Eine sichtbare Kamera ist die bessere Konstruktion

Soll eine Smart Glasses professionell im Sicherheitsdienst verwendet werden, sollte sie deshalb gerade nicht als versteckte Kamera konzipiert sein.

Sinnvoll wären beispielsweise:

• eine eindeutig erkennbare Kamera,
• eine von außen gut sichtbare Aufnahme- oder Übertragungsanzeige,
• eine technisch gegen Manipulation geschützte Statusanzeige,
• eine Kennzeichnung der Brille als elektronisches Einsatzmittel und
• eine transparente Information der Veranstaltungsbesucher.

Eine winzige Status-LED ist allerdings nicht automatisch eine rechtliche Universallösung. Entscheidend ist nicht nur ihre technische Existenz, sondern auch, ob der Betroffene die relevante Funktion tatsächlich eindeutig erkennen kann.

Die endgültige Beurteilung nach § 8 TDDDG hängt deshalb vom konkreten Gerät und seiner Funktionsweise ab.

Smart Glasses als Arbeitsmittel des Sicherheitsmitarbeiters

Datenschutzrechtlich wesentlich weniger problematisch wäre eine Architektur, bei der die Brille hauptsächlich als digitales Assistenzsystem eingesetzt wird.

Ein Sicherheitsmitarbeiter könnte beispielsweise im Sichtfeld sehen:

Zutrittskontrolle

Ticket → QR-Code → Prüfung → ZUTRITT GÜLTIG

Einsatzinformation

Leitstelle → Alarm → Standort → Information im Display

Personensuche

Leitstelle → Foto einer gesuchten Person → Anzeige in der Brille → menschliche Identifikation

Die Entscheidung verbleibt dabei beim Sicherheitsmitarbeiter.

Eine solche Architektur unterscheidet sich grundlegend von einem System, das automatisch biometrische Daten sämtlicher Besucher verarbeitet.

Videoüberwachung bleibt Videoüberwachung

Sobald die Kamera der Brille Personen erfasst und die Bilder verarbeitet, überträgt oder speichert, muss zusätzlich das Datenschutzrecht berücksichtigt werden.

Für die Videoüberwachung öffentlich zugänglicher Räume ist insbesondere § 4 BDSG relevant. Eine Videoüberwachung kann unter bestimmten Voraussetzungen beispielsweise zur Wahrnehmung des Hausrechts oder berechtigter Interessen für konkret festgelegte Zwecke zulässig sein.

Ein Veranstalter hat zweifellos ein legitimes Interesse daran, unberechtigte Personen am Zutritt zu hindern oder die Sicherheit einer Veranstaltung zu gewährleisten.

Das bedeutet jedoch nicht, dass jede technisch denkbare Überwachungsmaßnahme erforderlich und verhältnismäßig wäre.

Eine Besonderheit der Smart Glasses besteht außerdem darin, dass ihre Kamera mobil ist. Anders als eine fest installierte Kamera folgt sie dem Mitarbeiter und regelmäßig auch dessen Blickrichtung.

Dadurch können Personen und Bereiche erfasst werden, die von einer klassischen stationären Videoüberwachung möglicherweise überhaupt nicht betroffen wären.

Daueraufzeichnung möglichst vermeiden

Für einen datenschutzfreundlichen Einsatz sollte deshalb nach dem Grundsatz der Datenminimierung gearbeitet werden.

Eine sinnvolle technische Architektur könnte beispielsweise so aussehen:

Kamera
  ↓
lokale Verarbeitung
  ↓
QR-Code / Objekt / Ereignis erkannt
  ↓
Ergebnis im Display
  ↓
Kameradaten verwerfen

Statt:

Kamera
  ↓
permanenter Videostream
  ↓
Cloud
  ↓
dauerhafte Speicherung
  ↓
KI-Auswertung
  ↓
Profilbildung

Nicht jedes Kamerabild muss gespeichert werden, nur weil es technisch verfügbar ist.

Insbesondere eine permanente Aufzeichnung einer vollständigen Acht- oder Zwölf-Stunden-Schicht wäre erheblich schwieriger zu rechtfertigen als eine eng begrenzte und zweckgebundene Verarbeitung.

Die entscheidende Grenze: automatische Gesichtserkennung

Besonders sensibel wird der Einsatz, wenn Smart Glasses Personen nicht nur filmen, sondern automatisch identifizieren sollen.

Technisch könnte ein solches System folgendermaßen funktionieren:

Kamera
  ↓
Gesicht erkennen
  ↓
biometrische Merkmale extrahieren
  ↓
biometrisches Template
  ↓
Abgleich mit Sperrliste
  ↓
TREFFER
  ↓
Warnung an Sicherheitsmitarbeiter

Beispielsweise könnte eine Veranstaltung eine Liste von Personen führen, gegen die ein wirksames Hausverbot besteht.

Auf den ersten Blick erscheint es naheliegend, die Brillen der Sicherheitsmitarbeiter automatisch nach diesen Personen suchen zu lassen.

Datenschutzrechtlich entsteht dadurch jedoch ein wesentlich größerer Eingriff.

Das System untersucht nicht nur die gesuchte Person

Um eine einzelne gesuchte Person in einer Menschenmenge zu erkennen, muss ein Gesichtserkennungssystem zunächst zahlreiche andere Personen analysieren.

Bei 2.000 Veranstaltungsbesuchern lautet der Vorgang deshalb nicht einfach:

„Wir verarbeiten die Daten der einen Person mit Hausverbot.“

Vielmehr kann das System die Gesichter zahlreicher Besucher erfassen und analysieren, um festzustellen, dass sie nicht die gesuchte Person sind.

Genau diese große Streubreite macht biometrische Fernidentifikation besonders problematisch.

Die Datenschutzbehörden weisen zudem darauf hin, dass Gesichtserkennungssysteme Wahrscheinlichkeitsaussagen treffen. Ein vermeintlicher Treffer muss nicht zwangsläufig die richtige Person sein.

Für einen Sicherheitsdienst bedeutet das auch praktisch: Ein KI-Treffer sollte niemals ungeprüft mit einer tatsächlichen Identifizierung gleichgesetzt werden.

Biometrische Daten unterliegen besonderem Schutz

Werden Gesichtsmerkmale mit speziellen technischen Verfahren verarbeitet, um eine natürliche Person eindeutig zu identifizieren, handelt es sich um biometrische Daten im Sinne der DSGVO.

Diese gehören bei Verarbeitung zum Zweck der eindeutigen Identifizierung zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO.

Für diese Daten gilt grundsätzlich ein Verarbeitungsverbot, soweit nicht eine der ausdrücklich vorgesehenen Ausnahmen greift.

Ein allgemeines Argument wie

„Wir haben ein berechtigtes Interesse an der Sicherheit der Veranstaltung“

reicht daher für eine biometrische Identifizierung nicht ohne Weiteres aus.

Eine automatische Gesichtserkennung ist rechtlich eine völlig andere Größenordnung als eine gewöhnliche Kamera.

Ein Hinweisschild allein reicht nicht

Bei einer Videoüberwachung spielt Transparenz eine wichtige Rolle. Besucher müssen entsprechend den gesetzlichen Anforderungen über die Verarbeitung informiert werden.

Ein Hinweis könnte beispielsweise deutlich machen, dass in bestimmten Bereichen Videoüberwachung erfolgt und wer dafür verantwortlich ist.

Ein solcher Hinweis schafft jedoch keine Rechtsgrundlage.

Das Gleiche gilt für Gesichtserkennung.

Ein Schild mit dem Hinweis

„Auf dieser Veranstaltung wird automatische Gesichtserkennung eingesetzt.“

macht eine ansonsten unzulässige biometrische Verarbeitung nicht zulässig.

Transparenz und Zulässigkeit sind zwei unterschiedliche Anforderungen.

Auch der EU AI Act muss berücksichtigt werden

Neben DSGVO und BDSG ist bei KI-gestützter biometrischer Identifikation inzwischen auch die europäische KI-Verordnung (AI Act) zu berücksichtigen.

Der AI Act enthält umfangreiche Vorschriften zu biometrischen Systemen und insbesondere zur biometrischen Fernidentifizierung. Die bekannten besonders strengen Regelungen zur biometrischen Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen betreffen insbesondere deren Einsatz zu Strafverfolgungszwecken.

Daraus darf ein privates Sicherheitsunternehmen jedoch nicht den Umkehrschluss ziehen:

„Wir sind keine Polizei, deshalb dürfen wir Gesichtserkennung einsetzen.“

DSGVO, BDSG und die weiteren Anforderungen des AI Act gelten unabhängig davon weiterhin.

Bemerkenswert ist zudem, dass die deutschen Datenschutzaufsichtsbehörden selbst beim Einsatz automatisierter Gesichtserkennung durch Sicherheitsbehörden sehr hohe Anforderungen an eine hinreichend bestimmte Rechtsgrundlage stellen.

Für private Sicherheitsunternehmen ist daher besondere Zurückhaltung angebracht.

Person mit Hausverbot: Wie könnte eine datenschutzfreundlichere Lösung aussehen?

Angenommen, der Veranstalter informiert den Sicherheitsdienst darüber, dass eine bestimmte Person aufgrund eines Hausverbotes keinen Zutritt erhalten darf.

Statt sämtliche Besucher biometrisch zu analysieren, könnte die Leitstelle den eingesetzten Sicherheitsmitarbeitern das vorhandene Foto dieser Person bereitstellen.

Leitstelle
  ↓
Foto + relevante Einsatzinformation
  ↓
Smart Glasses
  ↓
Anzeige für Sicherheitsmitarbeiter
  ↓
Mitarbeiter vergleicht die Person selbst
  ↓
gegebenenfalls weitere Identitätsprüfung

Die Brille unterstützt damit den Menschen, ersetzt aber nicht dessen Identifikation durch eine permanente biometrische Überwachung.

Das dürfte für viele praktische Anwendungsfälle bereits einen erheblichen Nutzen bieten.

Sinnvolle Funktionen für Sicherheitsunternehmen

Smart Glasses könnten im Sicherheitsdienst auch ohne Gesichtserkennung zahlreiche Aufgaben übernehmen.

Zutrittskontrolle

QR-Codes, Tickets oder andere Berechtigungsnachweise könnten unmittelbar über die Brille geprüft werden.

Der Mitarbeiter erhält beispielsweise:

TICKET GÜLTIG
Bereich: VIP
Zutritt: Nord

Einsatzleitung

Die Leitstelle könnte Mitarbeitern unmittelbar Informationen übermitteln:

ALARM
Bereich B – Eingang West
Unterstützung erforderlich

Dadurch müsste der Mitarbeiter weder Smartphone noch Funkgerät für jede Information in die Hand nehmen.

Navigation

Bei großen Veranstaltungen, Industrieanlagen oder weitläufigen Objekten könnten Lagepläne und Einsatzorte direkt im Sichtfeld dargestellt werden.

Dokumentation

Bei konkreten Vorfällen könnte eine zeitlich begrenzte Dokumentation technisch möglich sein, sofern hierfür eine entsprechende Rechtsgrundlage besteht und das Datenschutzkonzept dies vorsieht.

Objekterkennung

KI muss nicht zwangsläufig Menschen identifizieren.

Denkbar wäre beispielsweise die Erkennung bestimmter Gegenstände, offener Türen, gesperrter Bereiche oder anderer sicherheitsrelevanter Situationen.

Dabei muss allerdings für jede konkrete KI-Funktion gesondert geprüft werden, welche Daten tatsächlich verarbeitet werden.

Tonaufnahmen sind besonders kritisch

Bei Smart Glasses darf außerdem das Mikrofon nicht vergessen werden.

Eine Videokamera und eine Tonaufnahme sind rechtlich nicht dasselbe.

Insbesondere § 201 StGB schützt das nichtöffentlich gesprochene Wort. Heimliche Tonaufzeichnungen können strafrechtliche Konsequenzen haben.

Für ein Sicherheitsunternehmen sollte deshalb grundsätzlich gelten:

Keine permanente Audioaufzeichnung nur deshalb, weil die Hardware ein Mikrofon besitzt.

Ein Mikrofon für Funkkommunikation ist von der Aufzeichnung von Gesprächen umstehender Personen technisch und organisatorisch klar zu trennen.

Datenschutz bereits bei der Technikentwicklung berücksichtigen

Ein professionelles System sollte nach den Prinzipien Privacy by Design und Privacy by Default entwickelt werden.

Das bedeutet beispielsweise:

• möglichst lokale Datenverarbeitung,
• keine unnötige Speicherung,
• kurze und definierte Löschfristen,
• Verschlüsselung der Kommunikation,
• klare Benutzer- und Rollenrechte,
• Protokollierung administrativer Zugriffe,
• keine frei exportierbaren Videoarchive,
• Trennung verschiedener Einsatzzwecke,
• deaktivierte Funktionen, solange sie nicht benötigt werden,
• keine permanente Audioaufzeichnung,
• eindeutige Anzeige aktiver Kamerafunktionen und
• menschliche Kontrolle bei sicherheitsrelevanten Entscheidungen.

Besonders wichtig ist die Zweckbindung.

Eine Kamera, die ursprünglich ausschließlich zur Ticketkontrolle eingeführt wurde, sollte nicht später ohne erneute Prüfung zur Mitarbeiterkontrolle, Verhaltensanalyse oder Gesichtserkennung verwendet werden.

Datenschutz-Folgenabschätzung

Bei besonders risikoreichen Verarbeitungsvorgängen ist Art. 35 DSGVO zu berücksichtigen.

Die Datenschutzkonferenz weist in ihrer Orientierungshilfe zur Videoüberwachung ausdrücklich darauf hin, dass bei Verarbeitung biometrischer Daten mit Gesichtserkennungssoftware – beispielsweise für Zutrittskontrolle oder zur Beobachtung beziehungsweise Überwachung von Personen – im Vorfeld eine Datenschutz-Folgenabschätzung durchzuführen ist.

Eine solche DSFA sollte nicht als bloße Formalität verstanden werden.

Sie untersucht insbesondere:

1. Welche Daten werden verarbeitet?
2. Welche Personen sind betroffen?
3. Welcher konkrete Zweck wird verfolgt?
4. Warum ist die Verarbeitung erforderlich?
5. Gibt es weniger eingriffsintensive Alternativen?
6. Welche Risiken entstehen für die Betroffenen?
7. Welche technischen und organisatorischen Maßnahmen reduzieren diese Risiken?

Gerade die Frage nach einer weniger eingriffsintensiven Alternative ist für Smart Glasses entscheidend.

Wenn beispielsweise ein QR-Code dieselbe Zutrittsentscheidung ermöglicht, ist zu erklären, warum zusätzlich eine biometrische Gesichtserkennung erforderlich sein sollte.

Drei Stufen für den praktischen Einsatz

Für Sicherheitsunternehmen lässt sich die Technologie grob in drei Risikostufen einteilen.

Stufe 1 – Assistenzsystem

Gut als Ausgangspunkt geeignet

Smart Glasses
├── Einsatzinformationen
├── Navigation
├── QR-/Ticketkontrolle
├── Alarmmeldungen
├── Kommunikation
└── Anzeige von Fahndungs-/Sperrfotos

Keine automatische biometrische Identifikation.

Stufe 2 – Mobile Videoüberwachung

Nur mit konkretem Datenschutz- und Einsatzkonzept

Smart Glasses
├── Kamera
├── Liveübertragung
└── gegebenenfalls ereignisbezogene Speicherung

Hier sind insbesondere Rechtsgrundlage, Zweckbindung, Transparenz, Erforderlichkeit, Speicherdauer, Zugriffsschutz und Löschung zu prüfen.

Stufe 3 – Biometrische Fernidentifikation

Rechtlich besonders kritisch

Smart Glasses
  ↓
permanente Gesichtserfassung
  ↓
biometrische Analyse
  ↓
Abgleich mit Datenbank
  ↓
automatische Identifizierung

Eine solche Lösung sollte ein privates Sicherheitsunternehmen nicht einfach als Erweiterung gewöhnlicher Videoüberwachung betrachten oder ohne spezialisierte rechtliche Prüfung einsetzen.

Die Technik sollte den Sicherheitsmitarbeiter unterstützen – nicht ersetzen

Smart Glasses können für Sicherheitsunternehmen ein interessantes zukünftiges Arbeitsmittel darstellen.

Der größte praktische Nutzen muss dabei nicht in einer permanenten Gesichtserkennung liegen.

Eine Brille, die einem Mitarbeiter im richtigen Moment die richtigen Informationen bereitstellt, kann bereits einen erheblichen Sicherheitsgewinn bringen:

Mitarbeiter
     ↕
Smart Glasses
     ↕
verschlüsselte Kommunikation
     ↕
Leitstelle
     ↕
Einsatz- und Zutrittssystem

Dabei bleibt der Sicherheitsmitarbeiter derjenige, der die Situation beurteilt und Entscheidungen trifft.

Das ist nicht nur datenschutzrechtlich günstiger, sondern kann auch sicherheitstechnisch sinnvoll sein. Ein Algorithmus kennt schließlich nicht automatisch den vollständigen Kontext einer Situation.

Fazit

Smart Glasses könnten die Arbeit privater Sicherheitsdienste erheblich verändern. Informationen, Zutrittskontrolle, Navigation, Kommunikation und bestimmte KI-Assistenzfunktionen lassen sich direkt in das Sichtfeld eines Mitarbeiters integrieren.

Doch je stärker die Technologie von der Assistenz zur Überwachung übergeht, desto größer werden die rechtlichen Anforderungen.

Besonders deutlich wird dies bei der Gesichtserkennung. Zwischen dem Anzeigen eines Fotos einer gesuchten Person und dem permanenten biometrischen Abgleich sämtlicher Besucher liegt rechtlich ein erheblicher Unterschied.

Für einen verantwortungsvollen Einsatz sollte deshalb der Grundsatz gelten:

So viel technische Unterstützung wie sinnvoll – aber nur so viel personenbezogene Überwachung wie tatsächlich erforderlich und rechtlich zulässig.

Ein zukunftsfähiges Smart-Glasses-System für den privaten Sicherheitsdienst sollte daher von Beginn an Datenschutz, IT-Sicherheit und Transparenz in seine technische Architektur integrieren.

Die entscheidende Frage lautet nicht nur:

Was können moderne Kamerabrillen?

Sondern:

Wie können wir diese Technologie so einsetzen, dass mehr Sicherheit entsteht, ohne die Privatsphäre der Menschen unnötig aufzugeben?

Hinweis: Dieser Beitrag dient der allgemeinen Information über technische und rechtliche Fragestellungen und stellt keine Rechtsberatung dar.

Weiterführende Quellen

• Bundesministerium der Justiz / Gesetze im Internet: § 8 TDDDG – Missbrauch von Telekommunikationsanlagen
• Bundesministerium der Justiz / Gesetze im Internet: § 4 BDSG – Videoüberwachung öffentlich zugänglicher Räume
• Datenschutz-Grundverordnung: insbesondere Art. 4, Art. 9 und Art. 35 DSGVO
• Verordnung (EU) 2024/1689 – Artificial Intelligence Act
• Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI): Informationen zu Videoüberwachung und Biometrie
• Datenschutzkonferenz (DSK): Orientierungshilfe Videoüberwachung sowie Veröffentlichungen zur biometrischen Gesichtserkennung

Dieser Artikel wurde im Dialog mit einer KI erstellt und verfeinert. Thematik und Inhalt stammen aus menschlicher Feder.