Datenschutz bei Digital Signage: Kameras, Besucherzählung und Aufzeichnung – was die Aufsichtsbehörden dazu sagen

Die Datenschutzaufsicht bekommt mehr zu tun. Beim Bayerischen Landesamt für Datenschutzaufsicht gingen 2025 insgesamt 9.746 Beschwerden und Kontrollanregungen ein, 61 % mehr als im Vorjahr und so viele wie nie seit Geltungsbeginn der DSGVO [1]. Rund ein Fünftel der Beschwerden betraf die Videoüberwachung, vor allem im privaten, oft nachbarschaftlichen Umfeld [1].

Grafik 1: Beschwerden und Kontrollanregungen beim Bayerischen Landesamt für Datenschutzaufsicht, 2019 bis 2025

Quelle: Bayerisches Landesamt für Datenschutzaufsicht, Tätigkeitsbericht 2025, Nr. 2.1, Grafik „Beschwerden und Kontrollanregungen pro Jahr“ [1] (abgerufen am 18.10.2026); eigene Darstellung.

Werte wie in der Grafik des Berichts 2025 beschriftet; nicht-öffentlicher Bereich, alle Sachgebiete. Anteil der Videoüberwachung 2025: 20 % [1].

In Hessen lässt sich das Videothema über mehrere Jahre verfolgen, weil der Landesbeauftragte es in seiner Arbeitsstatistik als eigenes Sachgebiet führt. Die Eingaben zur Videobeobachtung stiegen von 348 im Jahr 2019 auf 1.081 im Jahr 2025 [2, 3]; die Beschwerden allein wuchsen von 2024 auf 2025 von 295 auf 539 [3].

Grafik 2: Eingaben zur Videobeobachtung beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit, 2019 bis 2025

Quelle: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Arbeitsstatistik Datenschutz, Zeile „Videobeobachtung“, Spalte „Eingaben insgesamt“, 49., 51., 53. und 54. Tätigkeitsbericht [2, 4, 5, 3] (abgerufen am 18.10.2026); eigene Darstellung.

Eingaben = Beschwerden, Beratungen und Hinweise; Hinweise zählt der HBDI seit 2023 gesondert, bis 2022 steckten sie in den Beschwerden [6, 5, 3]. Alle Fälle des Sachgebiets Videobeobachtung, nicht nur Kameras an Bildschirmen.

Bildschirme weist keine dieser Statistiken gesondert aus. Dass Kameras an Werbeflächen die Aufsicht beschäftigen, zeigt ein Kontrollbesuch des Bundesdatenschutzbeauftragten 2018 bei einem Kamera-Analyse-Werbesystem in Postfilialen: Solche Systeme erfassen mit einer Kamera einen bestimmten Bereich, halten Einzelbilder nur flüchtig im Arbeitsspeicher und werten sie mit einer Gesichtserkennungssoftware aus; das geprüfte System gab lediglich Geschlecht und Alterskohorte aus [7]. Den Einsatz der Gesichtserkennungssoftware hielt die Behörde für datenschutzrechtlich problematisch [7].

Für die Planung hilft eine Stufenfolge. Auf der untersten Stufe zeigt ein Bildschirm Inhalte, ohne etwas über sein Publikum zu erfassen. Jede weitere Stufe fügt eine Verarbeitung hinzu, und jede braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, etwa eine Einwilligung oder ein berechtigtes Interesse [8]. Für Unternehmen ist das bei Kameras regelmäßig das berechtigte Interesse; § 4 BDSG wenden die Aufsichtsbehörden auf private Verantwortliche nicht an [9]. Für öffentliche Stellen des Bundes regelt § 4 BDSG die Videoüberwachung öffentlich zugänglicher Räume [10], für öffentliche Stellen der Länder gilt das BDSG nur, soweit kein Landesgesetz den Datenschutz regelt und sie Bundesrecht ausführen oder als Organe der Rechtspflege tätig werden [11].

Grafik 3: Vom Bildschirm ohne Sensor bis zur Wiedererkennung: welche Regeln mit jeder Stufe hinzukommen (Prinzip)

Quelle: eigene Darstellung.

Rechtsgrundlagen nach Art. 6 und 9 DSGVO [8, 12]; Hinweis, Ton, Arbeitsplätze und Speicherdauer [9]; Analyse [13]; Art. 50 Abs. 3 KI-Verordnung [14] in der nicht verbindlichen Auslegung der Kommission [15]. Schematische Darstellung, keine Rechtsberatung.

Die Stufen bauen nicht zwingend aufeinander auf: Ein Werbebildschirm kann analysieren, ohne aufzuzeichnen. Klar trennbare Verarbeitungsschritte sind nach dem Bundesdatenschutzbeauftragten einzeln zu bewerten und brauchen jeweils eine eigene Rechtsgrundlage [7].

Die Fälle unterscheiden sich weniger nach Branche als nach Sensor, wie sechs Situationen aus Handel, Foyer und Empfang zeigen.

Die eigentliche Entscheidung fällt vor dem Kauf. Die DSGVO verlangt, Daten auf das für den Zweck notwendige Maß zu beschränken [8], und sie verlangt passende technische Maßnahmen schon zum Zeitpunkt der Festlegung der Mittel, also bei der Auswahl der Technik (Art. 25 Abs. 1) [8]. Der Europäische Datenschutzausschuss wird für Videogeräte konkret: Funktionen, die nicht notwendig sind, etwa Zoom, Funkübertragung, Analyse oder Tonaufzeichnung, sollen die gewählten Lösungen nicht bieten, und vorhandene, aber unnötige Funktionen müssen deaktiviert werden [12].

Für Bildschirme heißt das zuerst: das Datenblatt lesen. Manche Displays, Stelen und Kioske haben Kamera, Mikrofon oder Anwesenheitssensor ab Werk. Ob sich diese Bauteile dauerhaft abschalten lassen, gehört in die Ausschreibung und nicht in die Nachbesserung. Beim Mikrofon ist die Lage besonders deutlich: Für Kameras mit Audiofunktion verlangen die Aufsichtsbehörden, den Ton unumkehrbar zu deaktivieren, weil das unbefugte heimliche Aufnehmen des nichtöffentlich gesprochenen Wortes nach § 201 StGB strafbar sein kann [9]. Es liegt nahe, diese Regel auf Kiosk-Mikrofone zu übertragen, die für keine Funktion gebraucht werden.

Symbolbild (KI-generiert). Nicht benötigte Funktionen wie Analyse oder Tonaufnahme sollen nach dem Europäischen Datenschutzausschuss deaktiviert sein [12].

Aus der Praxis: Wo Sensorprojekte am Bildschirm ins Rutschen geraten

„Anonym, weil nichts gespeichert wird.“ Dieser Satz steht in der Praxis in vielen Angeboten zur Zielgruppenmessung. Die DSK sieht auch Videobilder, die nur sehr kurz gespeichert werden, als personenbezogene Daten an [13]; bei der Funkzählung bleibt eine gehashte MAC-Adresse nach der bayerischen Aufsicht personenbezogen [16]. Deshalb sollte der Anbieter schriftlich beschreiben, welche Daten an welcher Stelle entstehen und wann sie gelöscht werden.

Die Frist „sicherheitshalber“. In der Praxis stehen Rekorder ab Werk oft auf mehreren Wochen. Die Aufsichtsbehörden halten 72 Stunden in der Regel für zulässig, längere Fristen müssen begründet werden [9]. Die Frist gehört als Zahl ins Projektblatt, und bei der Abnahme lohnt die Prüfung, ob das Gerät sie einhält.

Der Blickwinkel nach der Montage. Eine Kamera im Bildschirmrahmen erfasst nach der Montage oft mehr als geplant, etwa die Kasse daneben oder den Gehweg vor dem Schaufenster. Deshalb lohnt am Montagetag ein Blick auf das Bild; unerhebliche Bereiche lassen sich maskieren, was der EDSA als datenschutzfreundliche Technik nennt [12].

Gefragt ist in der Praxis oft eine Kamera, die Alter und Geschlecht schätzt oder die Blickdauer misst. Die Datenschutzkonferenz (DSK) hat genau diesen Fall bewertet: Sensoren an Informationsbildschirmen erfassen biometrische Merkmale von Umstehenden und analysieren Alter und Geschlecht [13]. Die Aufnahmen sind nach ihrer Auffassung personenbezogen, auch wenn sie nur sehr kurz gespeichert werden; weil kategorisiert und nicht identifiziert wird, sei die Rechtsgrundlage Art. 6 Abs. 1 DSGVO, nicht Art. 9 [13].

Das berechtigte Interesse trägt nach dem Papier nur unter engen Bedingungen. Der Speicherzeitraum darf sich nicht verlängern lassen, Wiedererkennung und Profilbildung müssen ausgeschlossen sein, die Software darf sich nicht so umstellen lassen, dass sie identifizierende Daten erhebt, und Verarbeitung und Zweck müssen hinreichend transparent gemacht werden [13]. Ein offenes System ohne diese Grenzen erfüllt die Voraussetzungen nach der DSK nicht [13]. Bayern und Baden-Württemberg haben dem Positionspapier nicht zugestimmt [13].

Der Europäische Datenschutzausschuss (EDSA) kommt für Werbung nach Alter und Geschlecht zu einem ähnlichen Ergebnis. Werden keine Templates zur eindeutigen Identifizierung erzeugt, sondern nur physische Merkmale zur Einordnung erkannt, fällt die Verarbeitung nach dem EDSA nicht unter Art. 9 DSGVO, solange keine anderen besonderen Kategorien personenbezogener Daten verarbeitet werden [12]. Will der Betreiber eine Person dagegen wiedererkennen, wenn sie erneut oder an einem anderen Bildschirm vorbeikommt, ist der Vorgang von Anfang an nach Art. 9 zu beurteilen [12]. Für Gesichtserkennung, die Werbung auf Einzelne zuschneidet, verlangt der EDSA die ausdrückliche Einwilligung aller Erfassten, auch wenn Templates sofort gelöscht werden [12].

Unabhängig davon ist vorab zu prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist. Art. 35 DSGVO verlangt sie bei voraussichtlich hohem Risiko, ausdrücklich etwa bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche [8]. Für Gesichtserkennung zu Werbezwecken hält die DSK sie für zwingend und nennt Beschäftigte und Kinder als besonders schutzwürdige Personenkreise [9]. Ein benannter Datenschutzbeauftragter ist um Rat zu fragen (Art. 35 Abs. 2) [8].

Wie viele Menschen an einem Bildschirm vorbeikommen, lässt sich auf drei Wegen erfassen. Auch eine Kamera, die nur zählt, nimmt Bilder auf, die nach der DSK selbst bei sehr kurzer Speicherung personenbezogen sind [13]; der EDSA ordnet einfache Zählalgorithmen aber als weniger eingriffsintensiv ein als komplexe biometrische Technik [12].

Heikler ist die Zählung über Smartphones, deren WLAN- und Bluetooth-Funk Gerätekennungen aussendet. Die bayerische Aufsicht wertet die MAC-Adresse beim sogenannten Offline-Tracking als personenbezogenes Datum; ein Hash-Verfahren anonymisiert sie nicht [16]. Wirksame Einwilligungen hat sie in der Praxis nicht angetroffen [16]. Auf der deutschen Liste der Verarbeitungen, für die eine Datenschutz-Folgenabschätzung Pflicht ist, steht das Offline-Tracking von Kundenbewegungen in Warenhäusern und Einkaufszentren über WLAN-, Bluetooth- oder Mobilfunksignale ausdrücklich [17].

Symbolbild (KI-generiert). Wer Laufwege über WLAN-, Bluetooth- oder Mobilfunksignale verfolgt, muss nach der deutschen Liste vorab eine Datenschutz-Folgenabschätzung durchführen [17].

Offen ist, ob zusätzlich § 25 TDDDG greift. Danach sind das Speichern von Informationen im Endgerät und der Zugriff auf dort gespeicherte Informationen nur mit Einwilligung zulässig, soweit keine Ausnahme vorliegt [18]. Die Aufsichtsbehörden nennen Bluetooth-Beacons und das Auslesen von MAC-Adressen als zu berücksichtigende Fälle [20]. Der EDSA stellt für einen Zugriff in der Regel darauf ab, dass Anweisungen an das Endgerät gesendet werden [19]; ob das bloße Auffangen ausgesandter Signale darunter fällt, ist nicht ausdrücklich geklärt. Der vorsichtigere Weg ist eine Zählung, die ohne Gerätekennungen auskommt.

Für Lichtschranken ohne Bild ist keine Behördenaussage ersichtlich; in der Praxis registrieren sie meist nur, dass jemand vorbeigeht.

Wird das Kamerabild gespeichert, kommt die Speicherfrist hinzu, für die weder die DSGVO noch das BDSG eine Zahl nennen [8, 10]. Die DSGVO verlangt, Daten nur so lange in identifizierbarer Form zu speichern, wie es der Zweck erfordert (Art. 5 Abs. 1 Buchst. e) [8]. Die deutschen Aufsichtsbehörden halten eine Speicherdauer von 72 Stunden in der Regel für zulässig, weil sich meist in ein bis zwei Arbeitstagen klären lässt, ob Material gesichert werden muss; je länger die Frist, desto höher der Begründungsaufwand [9]. Der EDSA empfiehlt in den meisten Fällen eine automatische Löschung nach einigen Tagen und hält für ein kleines Geschäft, in dem Vandalismus in der Regel am selben Tag auffällt, 24 Stunden für ausreichend [12].

Vor dem Bereich hängt ein Hinweisschild auf Augenhöhe, damit man die Überwachung erkennt, bevor man den Bereich betritt [9, 12]. Das Muster der DSK sieht darauf den Verantwortlichen mit Kontaktdaten, gegebenenfalls den Datenschutzbeauftragten, Zwecke und Rechtsgrundlage, die berechtigten Interessen, die Speicherdauer und den Ort der vollständigen Information vor; gedruckt werden soll es mindestens in DIN A4 [9]. Die Speicherdauer gehört nach Art. 13 Abs. 2 Buchst. a DSGVO ohnehin zu den Angaben bei der Erhebung [8]. Werden Daten zu Marketingzwecken verarbeitet, muss darauf deutlich hingewiesen werden, weil das für Betroffene überraschend sein kann [9].

Symbolbild (KI-generiert). Das Hinweisschild hängt auf Augenhöhe vor dem erfassten Bereich und nennt unter anderem Zweck und Speicherdauer [9, 12].

Zwei Missverständnisse halten sich. Fehlen auf dem Schild Angaben zu Speicherung oder Weitergabe, dürfen Betroffene nach dem EDSA darauf vertrauen, dass nur live beobachtet wird [12]. Und ein Satz wie „Mit Betreten stimmen Sie zu“ ersetzt keine Einwilligung: In ihrem jüngsten Papier zur Videoüberwachung stellen die Aufsichtsbehörden klar, dass das Betreten eines gekennzeichneten Erfassungsbereichs keine eindeutige bestätigende Handlung ist [21]. Das Papier behandelt Fitnessstudios; der Grundsatz lässt sich auf Bildschirme mit Kamera übertragen.

Eine Kamera an Kasse, Theke oder Empfang filmt schnell die Menschen, die dort arbeiten. Die Aufsichtsbehörden ziehen klare Grenzen: Kameras sind nicht erlaubt, wenn Arbeitsleistung, Sorgfalt und Effizienz von Beschäftigten kontrolliert werden sollen; dauerhafte Arbeitsplätze und Bereiche, in denen sich Beschäftigte länger aufhalten, dürfen grundsätzlich nicht gefilmt werden [9]. Werden Beschäftigte im Verkaufsraum bei der Warensicherung nur miterfasst, richtet sich das nach Art. 6 Abs. 1 Buchst. f DSGVO; stehen sie im Fokus oder sind dauerhaft erfasst, gelten die engeren Vorschriften des Beschäftigtendatenschutzes [9].

Wo ein Betriebsrat besteht, bestimmt er bei Einführung und Anwendung technischer Einrichtungen mit, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG) [22]; die DSK verlangt, ihn vor der Einführung einer Videoüberwachung zu beteiligen, und empfiehlt ohne Betriebsrat eine Regelung etwa per Dienstanweisung [9].

Symbolbild (KI-generiert). Dauerhafte Arbeitsplätze dürfen nach den Aufsichtsbehörden grundsätzlich nicht gefilmt werden [9].

Eine weitere Grenze setzt die KI-Verordnung. Verboten ist, KI-Systeme zur Ableitung von Emotionen einer natürlichen Person am Arbeitsplatz zu verwenden, außer aus medizinischen Gründen oder Sicherheitsgründen (Art. 5 Abs. 1 Buchst. f) [14]; das Kapitel mit den Verboten gilt nach Art. 113 seit dem 2. Februar 2025 [14]. Die EU-Kommission nennt als Beispiel einen Supermarkt, der mit Kameras die Emotionen seiner Mitarbeiter verfolgt [23]. Kameras zum Erkennen verdächtiger Kunden verbietet die Vorschrift nicht, wenn keine Mitarbeiter nachverfolgt werden und ausreichende Schutzvorkehrungen bestehen [23].

Ein Begriff, zwei Lesarten: biometrische Daten

Für Kamera-Bildschirme mit Analysefunktion stellt sich eine Vorfrage, die bisher nicht abschließend geklärt ist. Die KI-Verordnung definiert biometrische Daten in Art. 3 Nr. 34 als mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu physischen, physiologischen oder verhaltenstypischen Merkmalen einer Person, etwa Gesichtsbilder [14]. Der Zusatz aus Art. 4 Nr. 14 DSGVO, dass die Daten die eindeutige Identifizierung ermöglichen oder bestätigen, fehlt in diesem Wortlaut [14, 8]; Lichtbilder fallen nach der DSGVO nur unter den Begriff, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung ermöglichen (Erwägungsgrund 51) [8]. Erwägungsgrund 14 der KI-Verordnung sagt aber, der Begriff solle im Sinne von Art. 4 Nr. 14 DSGVO ausgelegt werden, und fügt hinzu, dass biometrische Daten auch die Kategorisierung von Personen und die Erkennung von Emotionen ermöglichen können [24].

Damit stehen zwei Lesarten nebeneinander. Nach dem Wortlaut der Definition käme es für eine Kamera, die Alter oder Geschlecht schätzt, auf eine Identifizierung nicht an. Nach Erwägungsgrund 14 lässt sich vertreten, dass der engere DSGVO-Begriff maßgeblich ist. Die EU-Kommission führt in ihren Leitlinien zu verbotenen Praktiken eine Werbetafel, die je nach Alter oder Geschlecht des Betrachters unterschiedliche Werbung zeigt, als Beispiel einer Kategorisierung an, bei der es auf die Identifizierung nicht ankommt [23]. In ihren Leitlinien zu den Transparenzpflichten vom 20. Juli 2026 nennt sie die Einordnung nach Alter oder Geschlecht auf Grundlage biometrischer Daten ausdrücklich als biometrische Kategorisierung, für die Art. 50 Abs. 3 gilt, gleich ob das System als Hochrisiko-System eingestuft ist [15]. Verbindlich sind diese Auslegungen nicht, letztverbindlich entscheidet der Gerichtshof der Europäischen Union [15]; eine Gerichtsentscheidung zur Abgrenzung ist nicht ersichtlich. Für Alters- und Geschlechtsschätzung spricht damit viel dafür, die Pflichten der KI-Verordnung anzuwenden. Für andere Fälle, etwa eine Kamera, die nur zählt, ohne Merkmale zu schätzen, bleibt die Begriffsfrage offen.

Was seit wann gilt

Ein System zur biometrischen Kategorisierung ordnet Personen auf der Grundlage biometrischer Daten bestimmten Kategorien zu; ausgenommen ist eine Nebenfunktion eines anderen kommerziellen Dienstes, die aus objektiven technischen Gründen unbedingt erforderlich ist (Art. 3 Nr. 40) [14]. Ein Emotionserkennungssystem stellt Emotionen oder Absichten auf der Grundlage biometrischer Daten fest oder leitet sie daraus ab (Art. 3 Nr. 39) [14]. Seit dem 2. Februar 2025 verboten sind unter anderem Kategorisierungen, die Rasse, politische Einstellung, Gewerkschaftszugehörigkeit, religiöse oder weltanschauliche Überzeugung, Sexualleben oder sexuelle Ausrichtung ableiten sollen (Art. 5 Abs. 1 Buchst. g) [14]. Alter und Geschlecht stehen nicht in dieser Liste [14]. Die neu eingefügten Verbote in Buchst. ba und bb betreffen künstlich erzeugte intime und missbräuchliche Darstellungen und gelten erst ab dem 2. Dezember 2026 [14].

Für den Betrieb vor Ort zählt vor allem Art. 50 Abs. 3. Die Betreiber eines Emotionserkennungssystems oder eines Systems zur biometrischen Kategorisierung informieren die davon betroffenen Personen über den Betrieb des Systems und verarbeiten deren Daten nach der DSGVO [14]. Adressat ist der Betreiber, also der Betrieb, der das System einsetzt; die Pflicht gilt seit dem 2. August 2026 [14]. Eine bestimmte Form schreibt die Verordnung nicht vor; die Kommission nennt als Beispiel einen sichtbaren Hinweis an jedem Eingang eines Raums, in dem Gesichtsbilder zur Zuordnung zu einer Altersgruppe erfasst werden [15]. Art. 99 sieht für Verstöße gegen Art. 50 Geldbußen bis 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes vor, für verbotene Praktiken bis 35 Mio. Euro oder 7 % [14]. Hochrisiko-Pflichten für Emotionserkennung und für biometrische Kategorisierung nach sensiblen oder geschützten Merkmalen (Anhang III Nr. 1 Buchst. b und c) gelten erst ab dem 2. Dezember 2027 [14]; ob die Schätzung von Alter oder Geschlecht dazu zählt, ist nicht abschließend geklärt.

Ein Lächeln ist noch kein Gefühl

Bei Kunden vor einem Werbebildschirm ist Emotionserkennung nicht nach Art. 5 Abs. 1 Buchst. f verboten. Die Kommission nennt Systeme für personalisierte Werbung ausdrücklich auch in „intelligenten Werbetafeln“ als nicht erfasst, verweist aber auf die Verbote schädlicher Manipulation und Ausbeutung in Buchst. a und b [23]. Wo die Grenze verläuft, zeigt ihr Beispiel: Zu beobachten, dass eine Person lächelt, ist keine Emotionserkennung, der Schluss, dass sie glücklich ist, schon [23]. Zudem hält der Gesetzgeber ernsthafte Bedenken gegen die wissenschaftliche Grundlage solcher Systeme fest, weil Gefühlsausdrücke je nach Kultur und Situation stark variieren und die Systeme nur beschränkt zuverlässig sind (Erwägungsgrund 44) [24].

Auch ohne Kamera verarbeitet ein Bildschirm Daten, sobald Menschen etwas eintippen, etwa bei der Besucheranmeldung, beim Check-in oder bei einem Gewinnspiel. Art. 25 Abs. 2 DSGVO verlangt datensparsame Voreinstellungen für Menge, Umfang, Speicherfrist und Zugänglichkeit; die Daten dürfen nicht ohne Zutun der Person einer unbestimmten Zahl von Menschen zugänglich werden [8]. Am Terminal heißt das: Eingaben verschwinden, bevor der Nächste vor dem Gerät steht, und das Formular fragt nur ab, was der Zweck verlangt. Eine gesetzliche Löschfrist für solche Eingaben ist nicht ersichtlich; maßgeblich bleibt der Grundsatz der Speicherbegrenzung [8].

In der Praxis entstehen die meisten Datenschutzfragen bei Digital Signage bei Funktionen, die niemand bewusst bestellt hat. Zum Informieren oder Werben braucht ein Bildschirm keine Kamera. Wer Reichweite messen will, sollte zuerst prüfen, ob Kassendaten, Aktionscodes oder eine Zählung ohne Gerätekennung die Frage schon beantworten. Erst wenn ein Zweck nur mit Kamera erreichbar ist, lohnt der Aufwand für Abwägung, Schild, Löschkonzept und Folgenabschätzung.

Gesichtserkennung im Kundenbereich ist für Werbezwecke praktisch nicht umsetzbar, weil sie die ausdrückliche Einwilligung aller Erfassten voraussetzt [12]. Bei Alters- und Geschlechtsschätzung ist der vorsichtigere Weg, die Bedingungen der DSK vollständig einzuhalten [13] und zusätzlich nach Art. 50 Abs. 3 KI-Verordnung zu informieren, wie es die Kommission in ihren Leitlinien versteht [14, 15]. Wo Beschäftigte im Bild sind, hat eine Gefühlsauswertung nichts zu suchen [14].

Vom Zweck bis zur Löschfrist: sieben Schritte

• Zweck aufschreiben: Was soll der Bildschirm leisten, und braucht er dafür Kamera, Mikrofon, Funkempfang oder Eingabefelder [8]?
• Datenblatt prüfen: eingebaute Kamera, Mikrofon und Sensoren erfassen; nicht benötigte Funktionen deaktivieren, Ton unumkehrbar abschalten [12, 9].
• Stufe bestimmen: Live-Bild, Zählung, Aufzeichnung, Analyse oder Wiedererkennung, jeweils mit Rechtsgrundlage [8, 12].
• Folgenabschätzung prüfen: bei Analyse, Gesichtserkennung, Funk-Tracking oder systematischer Überwachung öffentlich zugänglicher Bereiche, mit Rat des Datenschutzbeauftragten [8, 17].
• Informieren: Schild vor dem Erfassungsbereich auf Augenhöhe, mindestens DIN A4, mit Speicherdauer und Werbezweck; bei Kategorisierung oder Emotionserkennung zusätzlich nach Art. 50 Abs. 3 KI-Verordnung [9, 14].
• Speicherfrist festlegen: als Zahl, in der Regel nicht über 72 Stunden, mit automatischer Löschung [9, 12].
• Beschäftigte einbinden: Arbeitsplätze ausblenden oder maskieren, Betriebsrat vor der Einführung beteiligen, keine Emotionsableitung [9, 22, 14].

• Beratungstermin zur Bildschirmtechnik vereinbaren – kostenlos, im Showroom in Solingen oder per Video
• Orientierungshilfen der Datenschutzkonferenz – Videoüberwachung, biometrische Analyse, digitale Dienste

Sebastian Meiners beschäftigt sich seit mehr als 20 Jahren mit Digital Signage – von der Projektentwicklung über Planung und Umsetzung bis zum Betrieb im Alltag. In dieser Zeit hat er mehrere hundert Projekte begleitet, für Handel, Gastronomie, Industrie und öffentliche Auftraggeber. Sein Fachwissen hat er in zahlreichen Seminaren und Weiterbildungen vertieft und in der Zusammenarbeit mit Hunderten von Herstellern aus aller Welt, großen Werbeagenturen, IT-Systemhäusern sowie internationalen IT-Beratungen weiterentwickelt. Als Geschäftsführer der m.i.b GmbH in Solingen verantwortet er heute den Vertrieb sowie die Entwicklung von Software- und KI-Lösungen.

Veröffentlicht am 29.10.2026

1. Tätigkeitsbericht 2025, Nr. 2.1 Beschwerden (Text und Grafik „Beschwerden und Kontrollanregungen pro Jahr“), Bayerisches Landesamt für Datenschutzaufsicht. https://www.lda.bayern.de/media/baylda_report_15.pdf (abgerufen am 18.10.2026)
2. 49. Tätigkeitsbericht zum Datenschutz (Berichtsjahr 2020), Arbeitsstatistik Datenschutz, Der Hessische Beauftragte für Datenschutz und Informationsfreiheit. https://datenschutz.hessen.de/sites/datenschutz.hessen.de/files/2022-08/hbdi_49_tatigkeitsbericht_2021_0.pdf (abgerufen am 18.10.2026)
3. 54. Tätigkeitsbericht zum Datenschutz (Berichtsjahr 2025), Kernpunkte und Kap. 18.2 Arbeitsstatistik Datenschutz, Der Hessische Beauftragte für Datenschutz und Informationsfreiheit. https://datenschutz.hessen.de/sites/datenschutz.hessen.de/files/2026-04/hbdi_54_tatigkeitsbericht_web.pdf (abgerufen am 18.10.2026)
4. 51. Tätigkeitsbericht zum Datenschutz (Berichtsjahr 2022), Kap. 19 Arbeitsstatistik Datenschutz, Der Hessische Beauftragte für Datenschutz und Informationsfreiheit. https://datenschutz.hessen.de/sites/datenschutz.hessen.de/files/2023-04/51-taetigkeitsbericht-des-hbdi_0.pdf (abgerufen am 18.10.2026)
5. 53. Tätigkeitsbericht zum Datenschutz (Berichtsjahr 2024), Arbeitsstatistik Datenschutz, Der Hessische Beauftragte für Datenschutz und Informationsfreiheit. https://datenschutz.hessen.de/sites/datenschutz.hessen.de/files/2025-05/53-tb-online_1.pdf (abgerufen am 18.10.2026)
6. 52. Tätigkeitsbericht zum Datenschutz (Berichtsjahr 2023), Kap. 16.1 Zahlen und Fakten (Fußnote zu den Hinweisen), Der Hessische Beauftragte für Datenschutz und Informationsfreiheit. https://datenschutz.hessen.de/sites/datenschutz.hessen.de/files/2024-04/52-tb-online.pdf (abgerufen am 18.10.2026)
7. 27. Tätigkeitsbericht zum Datenschutz 2017–2018, Nr. 15.2.9 (Kamera-Analyse-Werbesysteme in Postfilialen), Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Taetigkeitsberichte/27TB_17_18.pdf?__blob=publicationFile&v=11 (abgerufen am 18.10.2026)
8. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4, 5, 6, 9, 13, 25, 35 und Erwägungsgrund 51, EUR-Lex (Amt für Veröffentlichungen der Europäischen Union). https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 (abgerufen am 18.10.2026)
9. Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen, Stand 17.07.2020 (Nr. 2, 3.3, 3.4, 3.5, 4.1, 4.2, 5.1, Anlage 1), Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK). https://www.datenschutzkonferenz-online.de/media/oh/20200903_oh_v%C3%BC_dsk.pdf (abgerufen am 18.10.2026)
10. § 4 Bundesdatenschutzgesetz (Videoüberwachung öffentlich zugänglicher Räume), Bundesministerium der Justiz und für Verbraucherschutz / Bundesamt für Justiz (gesetze-im-internet.de). https://www.gesetze-im-internet.de/bdsg_2018/__4.html (abgerufen am 18.10.2026)
11. § 1 Bundesdatenschutzgesetz (Anwendungsbereich), Bundesministerium der Justiz und für Verbraucherschutz / Bundesamt für Justiz (gesetze-im-internet.de). https://www.gesetze-im-internet.de/bdsg_2018/__1.html (abgerufen am 18.10.2026)
12. Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0 vom 29.01.2020, Rn. 3, 80–83, 113–115, 121 und 129, Europäischer Datenschutzausschuss (EDSA). https://www.edpb.europa.eu/system/files/documents/files/file1/edpb_guidelines_201903_video_devices_de.pdf (abgerufen am 18.10.2026)
13. Positionspapier zur biometrischen Analyse, Version 1.0, Stand 03.04.2019, Nr. 6.4.5 (Fall 5: Informationsbildschirme mit Sensoren), Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK). https://www.datenschutzkonferenz-online.de/media/oh/20190405_oh_positionspapier_biometrie.pdf (abgerufen am 18.10.2026)
14. Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 3, 5, 50, 99, 113 und Anhang III, konsolidierte Fassung vom 27.07.2026 (geändert durch Verordnung (EU) 2026/1744), EUR-Lex (Amt für Veröffentlichungen der Europäischen Union). https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02024R1689-20260727 (abgerufen am 18.10.2026)
15. Leitlinien der Kommission zur Umsetzung der Transparenzpflichten für bestimmte KI-Systeme nach Art. 50 der Verordnung (EU) 2024/1689, C(2026) 5054 final vom 20.07.2026, Rn. 5, 104, 107 und 110 (englische Fassung), Europäische Kommission. https://ai-act-service-desk.ec.europa.eu/sites/default/files/2026-07/guidelines_on_the_implementation_of_the_transparency_obligations_for_certain_ai_systems_under_article_50_of_the_ai_act_bzptwqhk0ikg1dtlddap41psfy_131215.pdf (abgerufen am 18.10.2026)
16. 8. Tätigkeitsbericht 2017/2018, Nr. 8.9 Offline-Tracking, Bayerisches Landesamt für Datenschutzaufsicht. https://www.lda.bayern.de/media/baylda_report_08.pdf (abgerufen am 18.10.2026)
17. Liste der Verarbeitungstätigkeiten, für die eine Datenschutz-Folgenabschätzung durchzuführen ist (nicht-öffentlicher Bereich), Version 1.1 vom 17.10.2018, Nr. 12, Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK). https://www.datenschutzkonferenz-online.de/media/ah/20181017_ah_DSK_DSFA_Muss-Liste_Version_1.1_Deutsch.pdf (abgerufen am 18.10.2026)
18. § 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), Bundesministerium der Justiz und für Verbraucherschutz / Bundesamt für Justiz (gesetze-im-internet.de). https://www.gesetze-im-internet.de/ttdsg/__25.html (abgerufen am 18.10.2026)
19. Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 der ePrivacy-Richtlinie, Version 2.0, Rn. 32, Europäischer Datenschutzausschuss (EDSA). https://www.edpb.europa.eu/system/files/2025-02/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_de.pdf (abgerufen am 18.10.2026)
20. Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten, Version 1.2, November 2024, Rn. 22, Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK). https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf (abgerufen am 18.10.2026)
21. Orientierungshilfe zur Videoüberwachung in Fitnessstudios, Stand 1. September 2026 (Zusatz zur Orientierungshilfe Videoüberwachung), Abschnitt I Nr. 1.1, Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK). https://www.datenschutzkonferenz-online.de/media/oh/OH_Orientierungshilfe_zur_Videoueberwachung_in_Fitnessstudios.pdf (abgerufen am 18.10.2026)
22. § 87 Betriebsverfassungsgesetz (Mitbestimmungsrechte), Bundesministerium der Justiz und für Verbraucherschutz / Bundesamt für Justiz (gesetze-im-internet.de). https://www.gesetze-im-internet.de/betrvg/__87.html (abgerufen am 18.10.2026)
23. Leitlinien der Kommission zu verbotenen Praktiken der künstlichen Intelligenz, C(2025) 5052 final vom 29.07.2025, Rn. 249, 254, 266 und 276, Europäische Kommission. https://ec.europa.eu/newsroom/dae/redirection/document/118661 (abgerufen am 18.10.2026)
24. Verordnung (EU) 2024/1689 (KI-Verordnung), Erwägungsgründe 14 und 44 (Amtsblatt-Fassung vom 12.07.2024; die konsolidierte Fassung enthält keine Erwägungsgründe), EUR-Lex (Amt für Veröffentlichungen der Europäischen Union). https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R1689 (abgerufen am 18.10.2026)

Dieser Ratgeber gibt Vorschriften, Leitlinien und Positionen der Datenschutzaufsicht auszugsweise wieder und ist keine Rechtsberatung. Orientierungshilfen, Positionspapiere und Leitlinien von Aufsichtsbehörden, EDSA und EU-Kommission sind nicht verbindlich, zeigen aber, wie Aufsichtsbehörden und Kommission die Vorschriften auslegen. Ob ein bestimmter Bildschirm mit Kamera, Sensor oder Eingabefeld so betrieben werden kann, klären Sie im Einzelfall mit Ihrer oder Ihrem Datenschutzbeauftragten und Ihrer Rechtsberatung. Rechtsstand: 18.10.2026.