Man sieht die Kamera nicht mehr: Warum smarte Brillen die Vertraulichkeitsregeln im Büro aushebeln
Jede Vertraulichkeitsregel setzt voraus, dass jemand ein Aufnahmegerät erkennt. KI-Brillen hebeln genau das aus, und die Lösung liegt in der Formulierung, nicht in einem Verbot, das sich ohnehin nicht durchsetzen lässt.
Jede Vertraulichkeitsregel in Ihrem Unternehmen beruht auf einer Annahme, die nie jemand aufgeschrieben hat: dass sich ein Aufnahmegerät erkennen lässt. Ein hochgehaltenes Smartphone. Ein kleines Lämpchen, das anzeigt, dass die Kamera läuft. Fällt diese Annahme weg, überlebt die Regel auf dem Papier und versagt im Raum. Eine Richtlinie für smarte Brillen am Arbeitsplatz ist heute in erster Linie eine Formulierungsaufgabe. Auf den Pförtner ist kein Verlass mehr.
Die Hardware braucht kaum Beschreibung. Kameras und Mikrofone, am Gesicht getragen, verbaut in Gestellen, die wie gewöhnliche Brillen aussehen, manche mit einem Display, das nur der Träger lesen kann. Technische Daten lenken hier nur ab. Entscheidend ist das Erkennungsmerkmal, denn eine auf Erkennung basierende Richtlinie braucht ein sichtbares Signal, und genau dieses Signal wird von der eigenen Produktlogik der Hersteller Stück für Stück abgeschliffen.
Der Mechanismus dahinter: Warum das Aufnahmelicht den Kürzeren zieht
Am Gesicht getragene Computer sind für die Unternehmen, die sie bauen, aus einem Grund wertvoll: passiver Kontext, ein ununterbrochener Strom dessen, worauf der Träger gerade blickt. Das ist weit mehr wert als Clips, die jemand bewusst aufnimmt. Eine Anzeige, die bei jeder Aufnahme aufleuchtet, ist eine Steuer genau auf diesen Datenstrom, weil sie begrenzt, wie viel vom Tag ein Träger aufzeichnen lässt, bevor es ihm zu auffällig wird. Lämpchen und Produkt-Roadmap ziehen in entgegengesetzte Richtungen, und die Roadmap gewinnt in der Regel.
Wo die Kontrolle tatsächlich liegt, zeigt die eigene Dokumentation der Hersteller. Meta erklärt zu seiner zweiten Brillengeneration, die Kamera schalte sich ab, sobald die Aufnahme-LED verdeckt wird, und ein Update werde die Kamera deaktivieren, falls die LED manipuliert oder zerstört wird. Solide Technik. Aber eben Software, die ein Hardware-Signal steuert, und alles, was ein Release hinzufügt, kann ein späteres Release wieder ändern. In die Gegenrichtung berichtete 404 Media über eine kostenpflichtige Drittanbieter-Modifikation, die das Aufnahmelicht abschaltete, während die Brille ansonsten normal funktionierte. Das Erkennungsmerkmal ist umkämpftes Terrain.
Legen Sie also die Grundregel fest, bevor Sie eine Zeile Richtlinie formulieren: Ein Zustimmungssignal in Software ist eine Bitte, nur ein Zustimmungssignal in Hardware ist eine Kontrolle. Lässt es sich per Firmware-Update oder kostenpflichtiger Modifikation entfernen, behandeln Sie es als bereits nicht vorhanden. Das ist keine Kritik an einem einzelnen Hersteller. Es ist derselbe Maßstab, den wir anlegen, wenn wir Kontrollen für agentische Systeme entwerfen, die mit Ihren Daten handeln: Eine Zusicherung, die die kontrollierte Partei selbst widerrufen kann, war nie eine Zusicherung.
Die Regeln werden gerade geschrieben, und nicht von Ihnen
Der öffentliche Streit ist laut und juristisch offen. Eine Sammelklage in Kalifornien wirft Meta vor, die Brille sei fälschlich als auf Privatsphäre ausgelegt beworben worden. Das sind Behauptungen der Klägerseite, und sie können durchaus scheitern. Ihre Wirkung auf die nächste Vertraulichkeitsklausel Ihrer Kunden wartet trotzdem nicht auf ein Urteil.
Der leisere, aber bereits verschriftlichte Teil des Problems kommt aus Großbritannien und richtet sich an den Arbeitgeber, nicht an den Hersteller, doch die Logik überträgt sich eins zu eins auf die DSGVO-Pflichten deutscher Unternehmen. Die britische Datenschutzbehörde ICO macht in ihrem Leitfaden zur Überwachung von Beschäftigten Transparenz zur Pflicht des Arbeitgebers und behandelt verdeckte Überwachung als Mittel, das nur in wirklich außergewöhnlichen, dokumentierten Fällen infrage kommt. Nach deutschem Recht verlangen Artikel 5 DSGVO und § 26 BDSG im Kern dasselbe, und ein Betriebsrat wird bei jeder faktisch entstehenden Überwachungseinrichtung ohnehin ein Wörtchen mitreden wollen. Übertragen Sie das auf einen Raum, in dem die private Brille eines einzigen Mitarbeitenden beiläufig Kolleginnen und Kollegen aufzeichnet. Der Arbeitgeber hat sich nie bewusst für Überwachung entschieden und besitzt am Ende trotzdem eine Überwachungspraxis, die er weder entworfen noch angekündigt hat und gegenüber einer Aufsichtsbehörde nicht erklären kann. Das Gerät zu dulden ist bereits eine Entscheidung, ob man sie aufschreibt oder nicht.
Die zweite Annahme, die sich früh ausräumen lässt: privates Equipment sei Privatsache. Der Europäische Gerichtshof entschied in der Rechtssache Ryneš (C-212/13), dass die eigene Überwachungskamera eines Hauseigentümers nicht unter die Ausnahme für ausschließlich persönliche oder familiäre Zwecke fällt, sobald sie auch den öffentlichen Raum erfasst. Die DSGVO übernimmt diese Ausnahme in derselben Form, und die Rechtsprechung des EuGH prägt weiterhin ihre Auslegung in allen Mitgliedstaaten, Deutschland eingeschlossen. Eine Brille, die mit ins Kundengebäude kommt, während der Arbeitszeit getragen wird und auf einen Bildschirm mit personenbezogenen Daten Dritter gerichtet ist, liegt weit außerhalb dieser Ausnahme.
Kann man smarte Brillen am Arbeitsplatz einfach verbieten?
Nicht sinnvoll. Fangen Sie damit an, wer sie überhaupt trägt. Die meisten Menschen, die eine Sehhilfe brauchen, tragen sie im Gesicht, die Brillengestelle nähern sich optisch immer mehr gewöhnlichen Brillen an, und eine Regel, die auf die Brille zielt, verlangt von einer Führungskraft, das Gestell einer Mitarbeiterin zu inspizieren. Das ist kein Betriebsmodell, das ist eine Beschwerde beim Betriebsrat, die nur auf ihren Anlass wartet. Dazu kommen Besucher, externe Dienstleister, Techniker vor Ort und jeder, der an einem Kundenschalter Schlange steht.
Das Arbeitsrecht hat dieses Experiment an der vorherigen Gerätegeneration bereits durchgespielt. Im britischen Fall Phoenix House Ltd v Stockman befasste sich das Employment Appeal Tribunal mit einer Mitarbeiterin, die eine Besprechung heimlich aufzeichnete, weigerte sich, heimliches Aufnehmen automatisch als schwere Pflichtverletzung einzustufen, und stellte fest, wie selten Arbeitgeber das Thema Aufnahmen in ihren Richtlinien überhaupt regeln. Die praktische Lehre daraus gilt genauso für deutsche Arbeitsverträge und Betriebsvereinbarungen: Was nie aufgeschrieben wurde, kann man sich hinterher nicht zunutze machen. Ein Verbot ist eine Erkennungsregel im strengeren Gewand. Es erbt exakt denselben Fehler und hinterlässt eine dokumentierte Kontrolle, die sich nicht belegen lässt, sobald ein Auditor eines Kunden nach dem Nachweis fragt.
Was eine Richtlinie für smarte Brillen am Arbeitsplatz tatsächlich regeln sollte
Verschieben Sie die Pflicht vom Beobachter auf den Träger. Vertraulichkeitsklauseln sollten verlangen, dass jeder, der definierte Bereiche betritt oder an definierten Prozessen teilnimmt, aufnahmefähige Geräte erklärt und deaktiviert, wobei der Verstoß in der unterlassenen Erklärung liegt, nicht im Erwischtwerden. Erkennung wird damit zum Beweismittel für ein arbeitsrechtliches oder vertragliches Verfahren, wozu sie ohnehin immer nur taugte.
Als Nächstes kommen Zonen, anstelle von Hardware-Kontrolle. Legen Sie fest, welche Räume und Prozesse grundsätzlich aufnahmefrei sind: Bildschirme mit Kundendaten, Personalgespräche, Vorfallbesprechungen, alles, was unter eine Geheimhaltungsvereinbarung mit einem namentlich genannten Vertragspartner fällt. Sagen Sie es im Raum, schreiben Sie es in die Kalendereinladung, und verankern Sie es im Vertrag, damit niemand die Regel aus der Unternehmenskultur ableiten muss.
Klären Sie dann die Haftungsfrage, bevor sie dringend wird. Zeichnet die private Brille einer Mitarbeiterin personenbezogene Daten eines Kunden auf dessen Gelände auf, ist die Ausnahme für rein persönliche Nutzung die falsche Anlaufstelle, weil der Zweck des Tragens die Arbeit war. Das Risiko liegt beim Unternehmen, und der Vertrag ist der Ort, an dem man das festhält.
Die Folgewirkungen kommen über die Papierform. Due-Diligence-Fragebögen von Kunden und Versicherern werden bald danach fragen, ob eine Klausel zu Wearables existiert, genau wie sie vor einem Jahrzehnt lernten, nach privaten Endgeräten zu fragen, und Kanzleien oder Beratungshäuser, die „ja, hier ist sie“ antworten, werden Mandate von jenen abwerben, die mit „wir prüfen das gerade“ antworten. Das ist ein Beschaffungsproblem, und eines der günstigsten Dinge, die sich in einem Programm zur technischen Strategie abschließend klären lassen.
Ein Einwand verdient es, geprüft zu werden, weil er derjenige ist, an dem die meisten Vorhaben hängen bleiben: Unsere Geheimhaltungsvereinbarungen decken das doch bereits ab. Lesen Sie Ihre noch einmal. Sie binden die Vertragsparteien, definieren den Verstoß als Offenlegung oder Nutzung vertraulicher Informationen und setzen stillschweigend voraus, dass eine Person sich entschieden hat, etwas weiterzugeben. Nichts davon beschreibt das eigene Gerät einer Mitarbeiterin, das einen Bildschirm aufnimmt, auf den es zufällig gerichtet war, in einem Raum, in dem niemand irgendetwas bewusst offengelegt hat. Die Lücke liegt nicht in der Vertraulichkeitspflicht, sie liegt im Aufnahmeereignis, und keine Standardklausel benennt es. Deshalb ist die Lösung eine Formulierungsfrage, und deshalb zählt die Entscheidung, was KI-Systeme überhaupt aufnehmen dürfen, mehr als das Gestell, in dem sie daherkommen.
Der Vorfall, der Sie am Ende zum Handeln zwingt, wird mit ziemlicher Sicherheit keine Spionage sein. Er wird banal sein: jemand in einer Kundenbesprechung, mit der Brille, die er jeden Tag trägt, ein Bildschirm voller personenbezogener Daten eines Dritten im Bild, ein Assistenzsystem, das daraus still durchsuchbaren Text macht, in einer Infrastruktur, die keine der beiden Parteien kontrolliert. Keine Absicht, kein Objektiv zum Erkennen, kein Lämpchen. Schreiben Sie die Formulierung in diesem Quartal, solange es noch ein Absatz ist.
Häufige Fragen
Ist es in Deutschland erlaubt, dass Mitarbeitende aufnahmefähige Brillen am Arbeitsplatz tragen?
Das Tragen selbst ist nicht der regulierte Akt, das Erfassen und Verarbeiten fremder Daten ist es. Das ist eine Einschätzung, kein feststehendes Recht. In der Praxis gilt: Findet das Tragen im Rahmen der Beschäftigung statt, auf dem eigenen Gelände oder bei einem Kunden, kann sich das Unternehmen nicht auf eine Ausnahme für rein persönliche Nutzung berufen, um sich von dem zu distanzieren, was aufgezeichnet wird. Damit wird es zu einer Richtlinien- und Vertragsfrage für den Arbeitgeber, nicht zu einer Privatangelegenheit der Mitarbeiterin, und genau deshalb sollte die Pflicht als Erklärungspflicht formuliert werden, nicht als Verbot.
Was tun, wenn ein Besucher oder Kunde mit smarter Brille erscheint?
Geben Sie Empfang und Meeting-Gastgebern ein Skript, keine Ermessensfrage. Empfang und Gastgeber sollten jeden Besucher bitten zu bestätigen, ob er aufnahmefähige Geräte trägt oder bei sich führt, einen Ablageort anbieten oder um Abschalten für definierte Bereiche bitten, und die Antwort zusammen mit dem Besucherprotokoll festhalten. Es geht nicht darum, jemanden zu überführen. Es geht darum, den Moment zu dokumentieren, in dem die Pflicht übergegangen ist, denn genau das ist der Teil, den ein Auditor oder ein Gericht später tatsächlich prüfen kann.
Wie formuliert man eine Wearables-Klausel in einem Kunden- oder Lieferantenvertrag?
Definieren Sie ‚aufnahmefähiges Gerät‘ weit genug, um die nächste Produktgeneration zu überstehen, einschließlich Brillen, Ohrhörern und am Körper getragenen Kameras, statt einzelne Marken zu nennen. Knüpfen Sie die Pflicht an Erklärung und an benannte Zonen oder Prozesse, niemals an sichtbare Anzeigen. Fügen Sie eine Pflicht hinzu, die andere Partei unverzüglich zu benachrichtigen, falls in einer Sperrzone dennoch aufgenommen wird, und regeln Sie die Haftung für privat mitgebrachte Geräte im Arbeitskontext ausdrücklich. Eine Klausel, die davon abhängt, dass jemand ein Lämpchen bemerkt, hat ein eingebautes Verfallsdatum.
Verwandte Artikel
- Die Souveränitätsprämie: Warum souveräne KI-Lösungen für Unternehmen nicht wegen Tempo gewinnen, sondern wegen Zugriffssicherheit
- KI-Sicherheitsmarketing als Bumerang: Wie die Weltuntergangs-Rhetorik ihren eigenen Käfig baute
- Ihr Monitor ist jetzt ein Softwareanbieter, und er hat nie um Erlaubnis gefragt
- Security & Trust
Verfasst von einer KI-Redaktionspersona des proprietären Redaktionssystems von Abyshire und von unserem Team geprüft.