DSGVO-Falle Smart Glasses: Warum Ray-Ban-Meta-Träger haftbar werden können

Der Streit über schlaue Brillen im Alltag geht weiter. Nachdem Verbotsforderungen die Politik beschäftigten und die Bundesnetzagentur mangels Handhabe passte, hat der Hamburgische Datenschutzbeauftragte Thomas Fuchs mit einer Untersuchung der Ray-Ban Meta AI Glasses nachgelegt. Die Analyse fällt deutlich aus: Für den Alltagseinsatz der Datenbrille im öffentlichen Raum existiert demnach kaum eine rechtssichere Grundlage, solange Meta nicht an Bauweise und Voreinstellungen nachbessert.

Im Labor zerlegten die Hamburger Datenschützer das Modell Meta Wayfarer der ersten Generation und analysierten den Datenverkehr. Dabei stießen sie rasch an Grenzen: Der 32-Gigabyte-Flashspeicher besaß keine standardisierten Anschlüsse, die Datenübertragung der App blieb verschlüsselt. Im Applikationsspeicher des Smartphones stießen die Prüfer aber auf eine Entdeckung: In der internen SQLite-Datenbank existieren Tabellenstrukturen mit Bezeichnungen wie „face“, „face_group“ oder „face_low_confidence_pair“.

Obwohl diese Tabellen in den Tests leer blieben und aktuell keine biometrische Gesichtserkennung stattfindet, ist der Unterbau für automatisiertes Personen-Matching bereits verankert. Die Behörde verweist auch auf Sicherheitsforscher, denen es kurzzeitig gelang, eine Gesichtserkennungsfunktion freizuschalten. Meta reagierte mit einem verdeckten Update. Dass der Konzern technisch vorsorgt, um Menschen künftig per Abgleich zu identifizieren, stößt den Kontrolleuren übel auf.

Ein weiterer Kritikpunkt betrifft die Transparenz gegenüber Dritten. Äußerlich unterscheidet sich die Datenbrille kaum vom Wayfarer-Klassiker aus den 1950er-Jahren. Passanten erkennen nicht, dass sie von Videokamera, fünf Mikrofonsystemen und KI-Assistent erfasst werden. Das Signal-Licht erweist sich als weitgehend wirkungslos: Bei Tageslicht ist die weiße LED kaum wahrnehmbar und signalisiert direkte KI-Interaktionen teils gar nicht.

Wenn Brillenträger zu Datenverarbeitern werden

Dazu kommt die Anfälligkeit für Manipulationen. Der Schutzmechanismus, der Aufnahmen bei verdeckter LED unterbinden soll, lässt sich mit Folien oder Kappen austricksen. Einmal gestartete Videoaufnahmen laufen weiter, selbst wenn das Signal-Licht nachträglich abgeklebt wird. Damit verfehlt die Brille die europäische Privacy-by-Design-Vorgabe. Das ermöglicht dem Bericht zufolge eine heimliche Überwachung, die mit der Datenschutz-Grundverordnung (DSGVO) unvereinbar ist.

Folgenschwer ist die datenschutzrechtliche Einordnung für die Käufer selbst. Die Haushaltsausnahme schützt Privatpersonen bei Aufnahmen im privaten Umfeld vor den DSGVO-Pflichten. Wer fremde Personen im öffentlichen Raum filmt oder Aufnahmen auf Social Media veröffentlicht, verliert dieses Privileg. Die Behörde stellt klar, dass Träger dann zu voll verantwortlichen Datenverarbeitern werden.

Unlösbare Hürden im Alltagseinsatz

Noch kniffliger wird die Lage, wenn Nutzer der Meta-Standardeinstellung nicht widersprechen und mit Interaktionsdaten das KI-Modell trainieren. Werden Bilder und Audiosignale Dritter in die USA zum KI-Training übermittelt, verlassen die Daten den privaten Zweck. User rutschen damit in eine gemeinsame Verantwortlichkeit mit dem US-Konzern nach Artikel 26 DSGVO. Da Meta dafür keine Vereinbarung zur Aufteilung der Pflichten anbietet, bewegen sich Brillenträger so auf dünnem Eis.

Um Bilder oder Gespräche Dritter rechtmäßig zu verarbeiten, müssten Träger entweder eine informierte Einwilligung einholen oder ein überwiegendes berechtigtes Interesse nachweisen. Beides scheitert an Alltagsrealitäten: Eine wirksame Zustimmung erfordert vorherige Aufklärung, was angesichts der unscheinbaren Brille faktisch unmöglich ist. Sie wirkt nicht wie eine übliche Kamera. Videoaufzeichnungen im öffentlichen Raum können zwar ausnahmsweise auf berechtigte Interessen gestützt werden. Bei aktivierten KI-Funktionen überwiegen die Rechte der Gefilmten aber fast immer.

Wer mit der Brille durch die Stadt geht, müsste Passanten laut der Analyse vorab mündlich aufklären oder gar Warnwesten mit Aufschriften tragen, um den Vorgaben des Europäischen Gerichtshofs zu genügen. Besonders sensibel seien Arztpraxen, Demonstrationen, Frauenhäuser oder Spielplätze. Der Einsatz der Ray-Ban Meta AI Glasses im öffentlichen Raum sei so datenschutzrechtlich nur schwer legal zu gestalten.