Smart Glasses im Unternehmensalltag
Der Einsatz von Smart Glasses ermöglicht vielen Unternehmen, Arbeitsabläufe zu erleichtern und zu beschleunigen. Je nach Modell lassen sich dabei Bild-, Video- und Tonaufnahmen erstellen, Sprachbefehle verarbeiten oder Informationen mit künstlicher Intelligenz auswerten. Dabei besteht jedoch die Gefahr, dass neben den eigentlich benötigten Informationen auch personenbezogene Daten unbeteiligter Personen erfasst werden könnten.
Wer ist datenschutzrechtlich verantwortlich?
Werden Smart Glasses im beruflichen Kontext eingesetzt und dabei personenbezogene Daten verarbeitet, findet grundsätzlich die Datenschutz-Grundverordnung (DS-GVO) Anwendung.
Datenschutzrechtlich verantwortlich ist gem. Art. 4 Nr. 7 DS-GVO grundsätzlich das Unternehmen, sofern es über Zwecke und Mittel der Verarbeitung entscheidet. Dies gilt beispielsweise, wenn Beschäftigte Smart Glasses für betriebliche Tätigkeiten nutzen und dabei Kunden, Kollegen oder andere Personen erfassen.
Daneben kann auch eine gemeinsame Verantwortlichkeit gem. Art. 26 DS-GVO in Betracht kommen, wenn ein Unternehmen und der Anbieter der Brille gemeinsam über Zwecke und Mittel bestimmter Verarbeitungen entscheiden. Dies kann beispielsweise relevant werden, wenn der Hersteller die erfassten Daten nicht nur im Auftrag des Unternehmens verarbeitet, sondern diese auch für eigene Zwecke, etwa zum Training seiner KI-Modelle, nutzt. Ob eine gemeinsame Verantwortlichkeit vorliegt, hängt dabei von der konkreten Ausgestaltung der Verarbeitung und den Entscheidungen der Beteiligten über deren Zwecke und Mittel ab.
Unternehmen müssen daher sicherstellen, dass sie im Falle des KI-Trainings Rechtsgrundlagen sowohl für die ursprüngliche Verarbeitung als auch für die Übermittlung der Daten an den Hersteller zum KI-Training nachweisen können.
Welche personenbezogenen Daten werden erfasst?
Je nach Nutzung können Smart Glasses unterschiedliche personenbezogene Daten verarbeiten. Hierzu zählen insbesondere Bild- und Videoaufnahmen (z. B. das Aufnehmen von Informationen/Dokumenten auf Bildschirmen), Stimmen, Gesprächsinhalte sowie Informationen über die Umgebung.
Durch zusätzliche KI-Funktionen können diese Daten außerdem analysiert und mit weiteren Informationen verknüpft werden. Kritisch ist hier vor allem, dass dabei auch personenbezogene Daten erfasst werden können, die für den eigentlichen Einsatzzweck nicht erforderlich sind. Beispielsweise können bei der Dokumentation eines technischen Arbeitsvorgangs unbeabsichtigt Kollegen, Kunden oder vertrauliche Unterlagen aufgenommen werden.
Was ist rechtlich erlaubt bei der Nutzung von Smart Glasses?
Nur weil Aufnahmen mit der Brille technisch möglich sind, heißt es nicht, dass diese auch datenschutzrechtlich zulässig sind. Unternehmen müssen also vor dem Einsatz von Smart Glasses prüfen, auf welcher Rechtsgrundlage personenbezogene Daten verarbeitet werden dürfen.
Einwilligung oder berechtigtes Interesse?
Als Rechtsgrundlage kommt grundsätzlich eine Einwilligung gem. Art. 6 Abs. 1 lit. a) DS-GVO i.V.m. Art. 7 DS-GVO in Betracht. Voraussetzung ist allerding, dass diese freiwillig, informiert und für einen bestimmten Zweck erteilt wird. Gerade bei Smart Glasses ist das problematisch: Betroffene Personen erkennen häufig gar nicht, dass sie aufgenommen werden. Eine wirksame Einwilligung muss jedoch bereits vor Beginn der Verarbeitung vorliegen.
Besonders schwierig ist die Einwilligung im Beschäftigungsverhältnis. Beschäftigte stehen in einem Abhängigkeitsverhältnis zu ihrem Arbeitgeber. Dadurch kann fraglich sein, ob sie bei der Nutzung einer Smart Brille tatsächlich frei einwilligen können oder sich aufgrund ihrer beruflichen Situation unter Druck gesetzt fühlen.
Unternehmen, die Smart Glasses dennoch einsetzen möchten, sollten daher nicht allein auf eine Einwilligung setzen. Stattdessen sollte vorab geprüft werden, ob eine andere Rechtsgrundlage für den konkreten Einsatz in Betracht kommt und wie sich die Verarbeitung möglichst datensparsam gestalten lässt. Dazu kann etwa gehören, Aufnahmen räumlich oder zeitlich zu begrenzen und betroffene Personen möglichst frühzeitig und deutlich über den Einsatz der Brillen zu informieren.
Alternativ kann eine Verarbeitung auf berechtigte Interessen gem. Art. 6 Abs. 1 lit. f) DS-GVO gestützt werden. Hierfür ist eine dokumentierte Interessenabwägung erforderlich. Dabei müssen insbesondere der Zweck der Verarbeitung, ihre Erforderlichkeit und die vernünftigen Erwartungen der betroffenen Personen berücksichtigt werden. Entscheidend ist dabei vor allem, ob diese in der konkreten Situation mit der Verarbeitung rechnen müssen. Gerade die fehlende Erkennbarkeit der Aufnahmen spricht häufig gegen ein überwiegendes Interesse des Unternehmens. Betroffene Personen müssen im Alltag grundsätzlich nicht damit rechnen, von einer äußerlich unauffälligen Brille aufgenommen zu werden. Ohne zusätzliche Maßnahmen, wie beispielsweise deutliche Hinweise auf Video- oder Tonaufnahmen, können Interessenabwägungen daher häufig zugunsten der betroffenen Person ausfallen.
Welche Rechtsgrundlage für den Einsatz von Smart Glasses tatsächlich in Betracht kommt, hängt jedoch stets vom konkreten Einsatzzweck und der Ausgestaltung ab.
Warum reicht eine Aufnahme-LED nicht aus?
Viele Smart Glasses verfügen über eine kleine LED-Leuchte, die während einer Aufnahme aktiviert wird. Diese ist für betroffene Personen jedoch häufig kaum wahrnehmbar. Zudem erfahren betroffene Personen durch die LED-Leuchte weder, wer ihre Daten verarbeitet, noch zu welchen Zwecken dies geschieht.
Auch die Datenschutzkonferenz (DSK) und der Europäische Datenschutzausschuss (EDSA) haben auf diese Problematik hingewiesen. Für Unternehmen stellt dies eine besondere Herausforderung dar: Sie müssen sicherstellen, dass betroffene Personen gem. Art. 12 ff. DS-GVO angemessen über die Verarbeitung ihrer Daten informiert werden. Gerade beim Einsatz im Arbeitsalltag, bei dem Beschäftigte regelmäßig mit Kollegen, Kunden oder anderen Personen in Kontakt kommen, lässt sich dies nicht ohne zusätzliche Maßnahmen gewährleisten.
Je nach Einsatz der Brille können hierfür beispielsweise eine vorherige aktive Ansprache der betroffenen Personen, deutlich erkennbare Hinweise wie Warnwesten mit der Aufschrift „Video- und Tonaufzeichnung“ oder zusätzliche technische Signale erforderlich sein.
Besondere Risiken: Wenn Smart Glasses mehr als nur aufnehmen
Smart Glasses können jedoch noch deutlich weitergehende datenschutzrechtliche Risiken mit sich bringen, wenn sie nicht nur Aufnahmen erstellen, sondern diese mithilfe von KI-Modellen auswerten oder für das Training von KI-Modellen verwendet werden. Welche besonderen Anforderungen sich daraus ergeben und worauf Unternehmen beim Einsatz solcher Funktionen achten sollten, können Sie im nächsten Artikel lesen.
