Der HmbBfDI untersucht Smart Glasses technisch und datenschutzrechtlich
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat am 10. September 2026 seinen Abschlussbericht zur technischen und datenschutzrechtlichen Untersuchung der Ray-Ban Meta AI Glasses veröffentlicht. Untersucht wurde exemplarisch das Modell Ray-Ban Meta Wayfarer (Gen 1). Ziel war insbesondere, die technischen Datenverarbeitungen der Brille und der zugehörigen Meta-AI-App nachzuvollziehen und zu klären, welche datenschutzrechtliche Verantwortung die Nutzer der Brille gegenüber aufgenommenen oder anderweitig erfassten Dritten trifft. Die Datenverarbeitungen durch Meta selbst waren dagegen nicht Gegenstand der rechtlichen Bewertung.
Was war der Anlass?
Die Ray-Ban Meta AI Glasses verbinden eine äußerlich weitgehend unauffällige Brille mit Kamera, Mikrofonen, Lautsprechern und einem KI-Assistenten. Die KI-Funktionen wurden 2025 auch auf dem europäischen Markt verfügbar. Nach Einschätzung des HmbBfDI besteht deshalb das besondere Risiko, dass Personen von der Kamera und von Meta AI erfasst werden, ohne die Aufnahme oder den Umfang der damit verbundenen Datenverarbeitung überhaupt wahrzunehmen. Zusätzliche Bedeutung erhielt die Untersuchung durch das von Meta angekündigte Training seiner KI-Modelle mit öffentlichen Inhalten sowie mit Interaktionen der Nutzer mit Meta AI. Diese Nutzung ist als Opt-out ausgestaltet: Ohne Widerspruch können entsprechende Interaktionsdaten grundsätzlich für das KI-Training verwendet werden. Für den HmbBfDI war deshalb insbesondere relevant, ob dabei auch personenbezogene Daten Dritter aus der Umgebung der Brillenträger verarbeitet werden.
Zahlen und Fakten aus der Untersuchung
Die untersuchte Brille verfügt über eine 12-Megapixel-Weitwinkelkamera, fünf Mikrofone, zwei Lautsprecher und 32 GB Flash-Speicher sowie WLAN, Bluetooth, Touchpanel und weitere Sensoren. Die Steuerung erfolgt über die Meta-AI-App. Der HmbBfDI untersuchte unter anderem die App-Struktur und ihren Applikationsspeicher, zeichnete Netzwerkverkehr auf, forderte eine Datenauskunft bei Meta an und öffnete die Brille für eine Hardwareanalyse.
Die Datenübertragungen zu Meta waren weitgehend verschlüsselt. Auch der Speicherchip der Brille ließ sich mit den verwendeten üblichen Methoden nicht auslesen. Im Speicher der App fanden die Prüfer allerdings Datenbanktabellen mit Bezeichnungen wie „face“, „face_group“, „face_low_confidence_pair“ und „face_to_face_group“. Ein tatsächlicher Einsatz zur Identifizierung von Personen ließ sich nicht nachweisen; die Tabellen waren leer. Nach Auffassung der Behörde sind damit aber technische Strukturen vorhanden, die perspektivisch für eine Gesichtserkennungsfunktion genutzt werden könnten.
Besonders problematisch bewertet der Bericht die Hinweis-LED der Brille. Sie soll Dritte auf Foto- und Videoaufnahmen aufmerksam machen, ist jedoch abhängig von Entfernung, Blickwinkel und Lichtverhältnissen nur eingeschränkt wahrnehmbar. Bei der Nutzung von Meta AI leuchtet sie bei der Gen 1 lediglich schwach und bei der Gen 2 nach den Feststellungen des HmbBfDI teilweise überhaupt nicht. Außerdem zeigte die technische Prüfung Möglichkeiten auf, die LED so abzudecken, dass Aufnahmen weiterhin möglich sind.
Die von Meta bereitgestellte Datenauskunft zeigte darüber hinaus einen erheblichen Umfang an technischen und nutzungsbezogenen Daten. Dazu gehörten unter anderem Geräte- und Verbindungsinformationen, Interaktionen mit Meta AI, Angaben zur Nutzung der Fotogalerie, Übertragungen zwischen Brille und App sowie technische Systemprotokolle.
Zu welchem Ergebnis kommt der HmbBfDI?
Datenschutzrechtlich entscheidend ist, dass auch Privatpersonen bei Verwendung der Brille grundsätzlich der DSGVO unterliegen können. Die Haushaltsausnahme greift insbesondere bei rein persönlichen oder familiären Tätigkeiten, etwa bei Aufnahmen im engen Familien- oder Freundeskreis. Außerhalb dieses Bereichs können die Nutzer selbst datenschutzrechtlich Verantwortliche sein.
Der HmbBfDI unterscheidet im Wesentlichen drei Fälle. Für normale Foto- und Videoaufnahmen kommen grundsätzlich eine Einwilligung oder berechtigte Interessen als Rechtsgrundlage infrage. Bei der Nutzung von Meta AI können ebenfalls eine Einwilligung oder – abhängig von der konkreten Situation – berechtigte Interessen wie Orientierung, Übersetzung oder Informationsgewinnung in Betracht kommen. Je gezielter jedoch unbeteiligte Personen erfasst oder je sensibler die Situation ist, desto stärker wiegen deren Rechte.
Deutlich kritischer wird die Situation, wenn die erfassten Daten zusätzlich zum KI-Training von Meta verwendet werden. Dafür ist nach Auffassung des HmbBfDI eine zusätzliche Rechtsgrundlage erforderlich. Im Rahmen einer Interessenabwägung sollen die Rechte der betroffenen Dritten regelmäßig gegenüber dem Interesse am KI-Training überwiegen. Die Brillennutzer können sich insoweit nach der Bewertung der Behörde auch nicht auf die Haushaltsausnahme berufen; hinsichtlich der Trainingsdaten nimmt der HmbBfDI vielmehr eine gemeinsame Verantwortlichkeit mit Meta an.
Auch das Hochladen von Aufnahmen auf Facebook oder Instagram benötigt eine Rechtsgrundlage. Eine Einwilligung muss dabei ausdrücklich auch die Veröffentlichung erfassen. Hinzu kommt, dass einmal veröffentlichte Bilder und Videos weltweit verbreitet und nur schwer kontrolliert werden können.
Das Gesamtergebnis des HmbBfDI fällt daher deutlich aus: Die erkennbare Aufnahme von Personen außerhalb des engen Freundes- und Familienkreises wird in praktisch relevanten Alltagssituationen datenschutzrechtlich häufig unzulässig sein. Ein wesentliches Problem besteht darin, dass eine informierte Einwilligung vor der Verarbeitung praktisch kaum eingeholt werden kann. Die eingebaute LED genügt nach Auffassung der Behörde allein nicht, um die Informationspflichten gegenüber den betroffenen Personen zu erfüllen. Zusätzliche Hinweise, etwa durch mündliche Information oder Piktogramme, wären erforderlich.
Bewertung aus Sicht unserer Kanzlei
Der Bericht zeigt ein grundlegendes Problem von Smart Glasses besonders anschaulich: Technische Unauffälligkeit und datenschutzrechtliche Transparenz stehen sich unmittelbar gegenüber. Während bei einem offen hochgehaltenen Smartphone für die Umgebung meist erkennbar ist, dass möglicherweise fotografiert oder gefilmt wird, sieht eine Smart Glasses zunächst wie eine gewöhnliche Brille aus. Gerade diese Eigenschaft erschwert die Erfüllung der Informationspflichten und eine wirksame Einwilligung erheblich.
Besonders kritisch erscheint die Kombination aus permanenter Verfügbarkeit einer Kamera, Sprachsteuerung und KI-Auswertung. Datenschutzrechtlich muss nicht nur gefragt werden, ob eine Aufnahme zulässig ist. Entscheidend ist ebenso, was anschließend mit den dabei erfassten personenbezogenen Daten geschieht. Die Übermittlung an einen KI-Dienst, die Analyse des Bildinhalts und erst recht die Verwendung für das Training eines KI-Modells können eigenständige Verarbeitungsvorgänge darstellen und zusätzliche Rechtsgrundlagen erfordern.
Für Unternehmen und Einrichtungen ist zudem wichtig, dass der Bericht die berufliche Nutzung ausdrücklich nicht vertieft untersucht. Aus den dargestellten Grundsätzen ergeben sich dort jedoch zusätzliche Risiken. In Arbeitsbereichen mit vertraulichen Informationen, Gesundheitsdaten, Kundenkontakten oder Beschäftigtendaten dürfte der Einsatz kamerafähiger und KI-gestützter Brillen regelmäßig einer besonders sorgfältigen Prüfung bedürfen. Klare interne Regeln bis hin zu Nutzungsbeschränkungen können deshalb erforderlich sein.
Interessant ist schließlich der technische Befund zur Gesichtserkennung. Der HmbBfDI hat keine tatsächlich eingesetzte identifizierende Gesichtserkennung nachgewiesen. Aus den gefundenen Datenbankstrukturen darf deshalb nicht der Schluss gezogen werden, dass Meta diese Funktion derzeit einsetzt. Gleichzeitig zeigt der Befund, wie schnell sich die datenschutzrechtliche Bewertung durch eine spätere Softwareänderung verschärfen könnte.
Thematisch passende Beiträge
Datenschutz in Pflegeeinrichtungen: Sprachassistenten, Smartphones und Smartwatches rechtssicher handhaben – besonders relevant zu Aufnahmegeräten, Sprachassistenten und dem Schutz unbeteiligter Dritter. Artikel auf ds123.de Daseco
Unzulässige Videoüberwachung bei IKEA Österreich? – thematisch passend zur Interessenabwägung bei Kameraaufnahmen und zum Schutz erfasster Personen. Artikel auf ds123.de Daseco
Datenschutzaufsichtsbehörde NRW: Patientendaten gehören nicht in die Sozialen Medien – relevant zur Veröffentlichung von Bild- und Videoaufnahmen Dritter in sozialen Netzwerken. Artikel auf ds123.de Daseco