> ## Content Index > Fetch the complete content index at: https://www.mrak.at/llms.txt > Use this file to discover other available public pages before exploring further. # Datenbrille in der Produktion: Warum die EDSA-Stellungnahme vom 13. Oktober AR-Projekte zu DSFA-Fällen macht - URL: https://www.mrak.at/datenbrille-in-der-produktion-warum-die-edsa-stellungnahme-vom-13-oktober-ar-projekte-zu-dsfa-fallen-macht/ - Published: 2026-10-19T05:58:20.000Z - Updated: 2026-10-19T05:58:20.000Z - Author: Michael Mrak - Tags: responsible-innovation, ai-risk, ai-governance, eu-regulation, governance Wer heute eine AR-Wartungsbrille pilotiert, kauft mit der Hardware einen Datenschutzfall ein. Der Europäische Datenschutzausschuss (EDSA) hat am 13\. Oktober 2026 im Plenum seine [Stellungnahme 1/2026 zu Smart Glasses](https://www.edpb.europa.eu/documents/statement/statement-of-the-edpb-on-smart-glasses%5Fen?ref=mrak.at)angenommen und am selben Tag veröffentlicht. Die Kernaussage: Hersteller und Anbieter verbundener Apps und KI-Dienste sind selbst Verantwortliche und können ihre Pflichten nicht auf die Trägerinnen und Träger abwälzen. > Meine These: Die Stellungnahme trifft die Beschaffungsseite stärker als die Nutzungsseite. Wer im Betrieb eine Brille einsetzt, ist für die Verarbeitung durch seine Beschäftigten Verantwortlicher. Er holt sich mit dem Gerät aber auch einen zweiten Verantwortlichen ins Haus, meist einen US-Konzern mit eigenen Interessen an Bild-, Ton- und Umgebungsdaten. Dieser Beitrag zeigt, was der EDSA tatsächlich sagt, was er offen lässt und wie man ein Pilotprojekt in Österreich rechtlich sauber aufsetzt. ## 1\. Was der EDSA entschieden hat und was nicht Der EDSA nennt sein Papier selbst eine erste Stellungnahme mit vorläufigen Hinweisen. Es ist keine Leitlinie, der EDSA kündigt weitere Arbeiten ausdrücklich an (Rz 35 f.). Trotzdem setzt es drei klare Linien. Erstens die Rollenverteilung (Rz 11 bis 18). Verantwortlich können Träger, Hersteller und Anbieter verbundener Apps oder KI-Systeme sein, allein oder gemeinsam nach Art. 26 DSGVO. Maßgeblich ist, wer Zwecke und Mittel bestimmt (EDSA-Leitlinien 07/2020). Analysiert ein KI-Dienst ein Kamerabild, auf dem andere Personen zu sehen sind, um dem Träger seine Umgebung zu erklären, ist der Anbieter dieses Dienstes regelmäßig selbst Verantwortlicher (Rz 17). Er darf sich bei Transparenz gegenüber Dritten nicht auf das Verhalten der Nutzer verlassen (Rz 18). Zweitens die Haushaltsausnahme nach Art. 2 Abs. 2 lit. c DSGVO. Sie greift nur bei rein persönlicher Tätigkeit außerhalb jedes beruflichen oder kommerziellen Kontexts und ist eng auszulegen (Rz 13 f., unter Verweis auf EuGH C-212/13 Ryneš). Wer die Brille beruflich, dienstlich oder politisch einsetzt, ist Verantwortlicher. Wichtig für Hersteller: Auch wenn der Träger privat unter die Ausnahme fällt, gilt die DSGVO weiter für den, der die Mittel bereitstellt (Rz 16, ErwGr 18). Drittens die Zweckbindung. Wer Daten für einen neuen Zweck weiterverarbeitet, muss die Vereinbarkeit nach Art. 5 Abs. 1 lit. b und Art. 6 Abs. 4 DSGVO prüfen. Der EDSA betont den Erhebungskontext, besonders wenn Betroffene keine Beziehung zum Verantwortlichen haben (Rz 19). Was der EDSA nicht entscheidet: Er konkretisiert weder Beschäftigtendatenschutz noch Art. 88 DSGVO, und er nennt keine Schwelle für eine verpflichtende DSFA. ## 2\. Der blinde Fleck: die Werkshalle Die Stellungnahme denkt vom öffentlichen Raum her: Passanten, Schwimmbäder, Social Media. Der Arbeitsplatz kommt in einem einzigen Satz vor. Der EDSA hält fest, dass der Einsatz am Arbeitsplatz Fragen der Mitarbeiterüberwachung und der Vertraulichkeit von Geschäftsgeheimnissen aufwirft (Rz 10). Mehr nicht. Im Betrieb verschiebt sich die Fragestellung. Es geht weniger um Transparenz gegenüber zufällig erfassten Dritten, sondern um eine Kontrollmaßnahme gegenüber Beschäftigten. Eine Remote-Support-Brille erfasst zwangsläufig das Blickfeld, die Hände, oft die Stimme und den Arbeitsfortschritt des Trägers. Wer per Livestream zugeschaltet ist, sieht, wie schnell und wie sorgfältig gearbeitet wird. Dazu kommen Kolleginnen und Kollegen, Fremdfirmen und Besucher im Bildfeld, die nie gefragt wurden. Für Pharma kommt eine zweite Ebene hinzu. Reinraum, Abfüllung und Qualitätskontrolle sind Orte, an denen Rezepturen, Anlagenparameter und GMP-Dokumentation sichtbar sind. Jede Aufnahme, die das Haus verlässt, ist auch ein Abfluss von Geschäftsgeheimnissen. Die Frage, wohin der Videostrom geht, ist damit keine reine Datenschutzfrage mehr. ## 3\. Die österreichische Zusatzebene: ArbVG und DSG Der EDSA verweist ausdrücklich darauf, dass neben der DSGVO auch Arbeitsrecht und sektorspezifische Regeln greifen und dass Verstöße dagegen die Rechtmäßigkeit nach Art. 5 Abs. 1 lit. a DSGVO in Frage stellen können (Rz 34). In Österreich ist das der eigentliche Engpass. Betriebsverfassung. Eine Wartungsbrille mit Kamera, Mikrofon und Livestream ist ein technisches System, das objektiv geeignet ist, Arbeitsleistung und Verhalten zu kontrollieren. Auf eine Kontrollabsicht kommt es nicht an. Berührt das System die Menschenwürde, und davon ist bei permanenter Bild- und Tonerfassung aus der Perspektive des Beschäftigten auszugehen, braucht es nach § 96 Abs. 1 Z 3 ArbVG eine Betriebsvereinbarung. Diese Zustimmung des Betriebsrats ist nicht durch die Schlichtungsstelle ersetzbar. Wer argumentiert, die Menschenwürde sei nicht berührt, landet bei automationsunterstützter Verarbeitung immer noch bei § 96a Abs. 1 Z 1 ArbVG. In Betrieben ohne Betriebsrat verlangt § 10 AVRAG die schriftliche Zustimmung jedes einzelnen Arbeitnehmers. § 11 DSG stellt klar, dass diese arbeitsrechtlichen Mitwirkungsrechte unberührt bleiben. Bildverarbeitung nach DSG. Die §§ 12 und 13 DSG regeln Bildaufnahmen zu privaten Zwecken, einschließlich mitverarbeiteter akustischer Informationen. § 12 Abs. 4 Z 2 DSG erklärt Bildaufnahmen zum Zweck der Kontrolle von Arbeitnehmern für unzulässig. Die unionsrechtliche Tragfähigkeit dieser Bestimmungen ist allerdings umstritten. Das BVwG hat sie 2019 mangels Öffnungsklausel für unanwendbar erklärt (W256 2214855-1 und W211 2210458-1, [Zusammenfassung des Parlaments](https://www.parlament.gv.at/fachinfos/rlw/DSG-verstoesst-gegen-die-DSGVO?ref=mrak.at)). Der VwGH hat am 22\. Oktober 2025 (Ra 2023/04/0075) anerkannt, dass nationale Normen berechtigte Interessen im Sinn des Art. 6 Abs. 1 lit. f DSGVO konkretisieren können, die gesetzliche Vorwegnahme der Interessenabwägung in § 12 Abs. 3 DSG aber kritisch gesehen ([Rechtssatz](https://gesetzefinden.at/judikatur/vwgh/jwr%5F2023040075%5F20251022l12?ref=mrak.at)). Für die Praxis heißt das: Die Rechtsgrundlage kommt aus Art. 6 DSGVO, gegebenenfalls in Verbindung mit Art. 88 DSGVO und der Betriebsvereinbarung. Die Wertungen der §§ 12 und 13 DSG, also Kennzeichnung, Protokollierung, Löschfristen und das Verbot der Leistungskontrolle per Bild, sollte man trotzdem in die Abwägung und in die Betriebsvereinbarung übernehmen. Genau an diesen Punkten setzen Prüfungen erfahrungsgemäß an. ## 4\. Rechtsgrundlage und Nachweis Der EDSA verlangt eine Einzelfallprüfung der Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO unter Berücksichtigung nationalen Rechts (Rz 27). Für den Betrieb ergeben sich drei Konsequenzen. Die Einwilligung Betroffener genügt nicht. Gegenüber Beschäftigten fehlt im Abhängigkeitsverhältnis regelmäßig die Freiwilligkeit (Art. 7 Abs. 4, ErwGr 43 DSGVO). Gegenüber mitgefilmten Dritten, also Kollegen, Fremdfirmen, Kunden oder Auditoren, ist eine vorherige, informierte Einwilligung praktisch nicht einholbar. Der EDSA sagt das für Hersteller und KI-Anbieter ausdrücklich und stellt klar, dass eine nachträgliche Einwilligung nach der Aufnahme unwirksam ist (Rz 29). Die Interessenabwägung muss dokumentiert sein. Art. 6 Abs. 1 lit. f DSGVO verlangt ein berechtigtes Interesse, Erforderlichkeit und das Fehlen überwiegender Gegeninteressen (EDSA-Leitlinien 1/2024). Der EDSA betont, dass die derzeit unzureichende Transparenz die vernünftigen Erwartungen der Betroffenen senkt und deshalb wirksame Ausgleichsmaßnahmen nötig sind (Rz 30). Für die Dokumentation braucht man mindestens: den konkreten Einsatzzweck (etwa Fehlerdiagnose an Anlage X mit externem Servicetechniker), die geprüften milderen Mittel (Foto statt Video, Standbild statt Stream, Aufnahme nur auf Knopfdruck), die erfassten Personengruppen und die technischen Gegenmaßnahmen aus Abschnitt 6. Der Widerspruch muss technisch möglich sein. Auch wenn lit. f trägt, müssen alle Betroffenen jederzeit nach Art. 21 Abs. 1 DSGVO widersprechen können (Rz 30). Im Betrieb heißt das: ein klarer Ablauf, wie eine Person im Bildfeld die Aufnahme sofort stoppen lassen kann, eine Funktion zum Löschen oder Verpixeln einzelner Sequenzen und eine Regel in der Betriebsvereinbarung, dass ein Widerspruch keine Nachteile auslöst. Sobald Gesichts- oder Stimmerkennung zur eindeutigen Identifizierung läuft, liegen biometrische Daten vor. Dann braucht es zusätzlich einen Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO (Rz 27, Fn. 22). Im Beschäftigungskontext ist der kaum zu finden. Mein Rat: Diese Funktionen vertraglich und technisch deaktivieren. ## 5\. Der zweite Verantwortliche im Raum: US Big Tech Der wichtigste Satz der Stellungnahme für Beschaffer steht in Rz 17\. Wer die KI-Funktionen einer Brille anbietet und dafür Kamerabilder mit anderen Personen auswertet, ist selbst Verantwortlicher. Damit ist die Frage nicht mehr, ob man einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bekommt. Die Frage ist, ob der Hersteller deine Betriebsdaten für eigene Zwecke verarbeitet und ob man das überhaupt verhindern kannt. > Wie das in der Praxis aussieht, zeigt Meta. Ende April 2025 hat der Konzern die Datenschutzbedingungen für die Ray-Ban-Meta-Brillen geändert: Die KI-Kamerafunktion ist seither standardmäßig aktiv, Sprachaufnahmen werden ohne Widerspruchsmöglichkeit bis zu ein Jahr gespeichert und zur Verbesserung der Meta-Produkte genutzt ([TechCrunch](https://techcrunch.com/2025/04/30/if-you-own-ray-ban-meta-glasses-you-should-double-check-your-privacy-settings?ref=mrak.at)). Das ist exakt die Weiterverarbeitung, die der EDSA für kaum rechtfertigbar hält: kommerzielle Zwecke jenseits des angefragten Dienstes und KI-Training, mit dem Unbeteiligte nicht rechnen (Rz 30, unter Verweis auf EuGH C-252/21 Meta gegen Bundeskartellamt). Ein Endgerät mit solchen Voreinstellungen ist in einer Produktionshalle nicht beherrschbar, egal was in der Betriebsvereinbarung steht. Dazu kommt die Übermittlungsfrage, die der EDSA in Rz 32 ausdrücklich nennt. US-Anbieter stützen den Transfer meist auf das EU-US Data Privacy Framework. Dessen Bestand ist offen: Das EuG hat die Klage von Philippe Latombe am 3\. September 2025 abgewiesen, das Rechtsmittel ist seit 31\. Oktober 2025 beim EuGH anhängig (C-703/25 P, [Digital Policy Alert](https://digitalpolicyalert.org/event/35459-latombe-filed-appeal-against-general-court-dismissal-of-challenge-to-european-unionunited-states-data-protection-framework-adequacy-decision-in-latombe-v-commission?ref=mrak.at)). Der Gerichtshof hat mit Safe Harbor und Privacy Shield bereits zwei Vorgänger gekippt. Unabhängig davon unterliegen US-Konzerne dem CLOUD Act und können zur Herausgabe von Daten verpflichtet werden, auch wenn diese in einem europäischen Rechenzentrum liegen. Für ein Pharmaunternehmen bedeutet ein Livestream aus der Abfüllung über US-Infrastruktur also nicht nur ein Datenschutzrisiko, sondern ein Risiko für Geschäftsgeheimnisse und GMP-relevante Informationen. Die Konsequenz ist eine Beschaffungsentscheidung, keine Nutzungsregel. Der EDSA empfiehlt selbst, Verarbeitung nach Möglichkeit auf dem Gerät durchzuführen und persistente Speicherung standardmäßig abzuschalten (Rz 33). Wer digital souverän bleiben will, setzt auf Brillen, die ohne Herstellerkonto und Hersteller-Cloud betrieben werden können, auf Remote-Support-Software mit Betrieb im eigenen Rechenzentrum oder bei einem europäischen Anbieter ohne US-Mutter und auf vertraglich zugesicherte, technisch nachprüfbare Abschaltung jeder Hersteller-KI. Geräte aus dem Consumer-Ökosystem von Meta, Google oder Apple gehören nicht in die Halle. ## 6\. Umsetzungsraster für das Pilotprojekt Eine DSFA nach Art. 35 DSGVO ist bei Wartungsbrillen im Betrieb praktisch immer fällig: systematische Überwachung von Beschäftigten, neue Technologie, Erfassung Unbeteiligter. Mit Gesichts- oder Stimmerkennung kommt die Verarbeitung besonderer Kategorien nach Art. 9 hinzu. Das folgende Raster verbindet die EDSA-Empfehlungen mit den Pflichten, die man ohnehin nachweisen muss. | Maßnahme | Rechtsgrundlage / Norm | Umsetzung im Betrieb | | ----------------------------- | ----------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------- | | Sichtbare Aufnahmeanzeige | Art. 12 bis 14, Art. 25 DSGVO; EDSA Rz 24 f. | LED, die bei jeder Lichtsituation erkennbar ist; Aufnahme technisch gesperrt, wenn die LED abgedeckt ist; zusätzlich Tonsignal und Sprachbefehl | | Information Dritter | Art. 13, 14 DSGVO | Hinweisschilder an Halleneingängen, Information für Fremdfirmen in der Sicherheitsunterweisung | | Zweckbindung | Art. 5 Abs. 1 lit. b DSGVO | Zweckkatalog in der Betriebsvereinbarung, ausdrückliches Verbot der Leistungs- und Verhaltenskontrolle | | Zweckvereinbarkeit | Art. 6 Abs. 4 DSGVO; EDSA Rz 19 | Vertraglicher Ausschluss jeder Weiterverarbeitung durch den Hersteller, insbesondere KI-Training | | Datenminimierung | Art. 5 Abs. 1 lit. c, Art. 25 DSGVO; EDSA Rz 33 | Stream statt Aufzeichnung, Aufzeichnung nur auf Knopfdruck, Speicherung standardmäßig aus, kurze Löschfristen | | Schutz Unbeteiligter | Art. 25 DSGVO; EDSA-Leitlinien 4/2019 | Automatisches Verpixeln von Gesichtern, Verarbeitung auf dem Gerät, Geofencing für Pausenräume, Garderoben und Sanitärbereiche | | Widerspruch | Art. 21 Abs. 1 DSGVO; EDSA Rz 30 | Stopp-Regel für jede Person im Bildfeld, Löschfunktion für Sequenzen | | Keine Biometrie | Art. 9 DSGVO | Gesichts- und Stimmerkennung deaktivieren und vertraglich ausschließen | | Mitbestimmung | § 96 Abs. 1 Z 3, § 96a ArbVG; § 10 AVRAG | Betriebsvereinbarung vor Pilotstart, nicht danach | | Drittlandübermittlung | Kap. V DSGVO | Betrieb ohne Hersteller-Cloud bevorzugen; sonst Transfer Impact Assessment und Exit-Plan für den Fall, dass das DPF fällt | | Datenschutz-Folgenabschätzung | Art. 35 DSGVO | Vor Pilotstart, mit Einbindung von Betriebsrat und DSB | Für ein ISMS nach ISO/IEC 27001:2022 bilden sich die Maßnahmen in drei Annex-A-Controls ab. A.5.34 (Privatsphäre und Schutz personenbezogener Daten) trägt Zweckbindung, Minimierung und DSFA. A.7.4 (physische Überwachung) ist relevant, weil die Brille faktisch eine mobile Kamera in Sicherheitsbereichen ist und deren Nutzung in Reinräumen oder Serverräumen zu regeln ist. A.8.1 (Endgeräte) verlangt die Aufnahme der Brillen ins Asset-Inventar, Mobile Device Management, Firmware-Kontrolle und eine Regel gegen private Brillen auf dem Werksgelände. ## Fazit Die EDSA-Stellungnahme vom 13\. Oktober 2026 ist kurz und vorläufig, aber sie verschiebt die Verantwortung dorthin, wo die Daten tatsächlich hinfließen: zu Herstellern und KI-Anbietern. Für Betriebe heißt das nicht Entwarnung. Du bleibst Verantwortlicher für den Einsatz durch deine Beschäftigten, brauchst in Österreich eine Betriebsvereinbarung und eine dokumentierte Abwägung. Neu ist, dass du bei der Auswahl des Geräts mitentscheidest, welchen zweiten Verantwortlichen du ins Haus holst. Wer heute eine Brille aus einem US-Consumer-Ökosystem pilotiert, baut eine Abhängigkeit auf, die sich später weder rechtlich noch technisch sauber auflösen lässt. Die richtige Reihenfolge lautet: Beschaffungskriterien, DSFA, Betriebsvereinbarung, dann Pilot. Sie planen ein AR-Projekt oder stecken bereits im Piloten? Ich unterstütze bei DSFA, Betriebsvereinbarung und Beschaffungskriterien. ## Quellen - EDSA, [Statement 1/2026 on smart glasses](https://www.edpb.europa.eu/documents/statement/statement-of-the-edpb-on-smart-glasses%5Fen?ref=mrak.at), angenommen 13.10.2026 ([Volltext PDF](https://www.edpb.europa.eu/system/files/2026-10/20261310%5Fedpb%5Fstatement%5Fsmart-glasses%5Fen.pdf?ref=mrak.at)) - EDSA, [Pressemitteilung vom 13.10.2026](https://www.edpb.europa.eu/news/edpb-publishes-statement-on-the-data-protection-challenges-of-smart-glasses%5Fen?ref=mrak.at), inklusive Verweis auf den SPE-Bericht „The connected gaze“ - EDSA, [The connected gaze. Video recording, surveillance and administering evidence in the age of smart glasses](https://www.edpb.europa.eu/documents/support-pool-of-experts/the-connected-gaze-video-recording-surveillance-and-administering%5Fen?ref=mrak.at), Support Pool of Experts, Oktober 2026 - Parlamentsdirektion, [DSG verstößt gegen die DSGVO](https://www.parlament.gv.at/fachinfos/rlw/DSG-verstoesst-gegen-die-DSGVO?ref=mrak.at) (zu BVwG W256 2214855-1 und W211 2210458-1) - VwGH 22.10.2025, Ra 2023/04/0075, [Rechtssatz](https://gesetzefinden.at/judikatur/vwgh/jwr%5F2023040075%5F20251022l12?ref=mrak.at) - RIS, [§ 12 DSG](https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40201399/NOR40201399.pdf?ref=mrak.at) - TechCrunch, [If you own Ray-Ban Meta glasses, you should double-check your privacy settings](https://techcrunch.com/2025/04/30/if-you-own-ray-ban-meta-glasses-you-should-double-check-your-privacy-settings?ref=mrak.at), 30.04.2025 - Digital Policy Alert, [Latombe v Commission, Rechtsmittel C-703/25 P](https://digitalpolicyalert.org/event/35459-latombe-filed-appeal-against-general-court-dismissal-of-challenge-to-european-unionunited-states-data-protection-framework-adequacy-decision-in-latombe-v-commission?ref=mrak.at) - EDSA-Leitlinien 4/2019 zu Art. 25 DSGVO, 07/2020 zu Verantwortlichem und Auftragsverarbeiter, 1/2024 zu Art. 6 Abs. 1 lit. f DSGVO