--- title: "Ist Gesichtserkennung in Deutschland legal? KI-VO & DSGVO (2026)" description: "Gesichtserkennung ist in Deutschland nur eng zulaessig. Erfahren Sie, was die KI-Verordnung verbietet und wann Art. 9 DSGVO greift." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/compliance/gesichtserkennung-deutschland/" language: "de" --- ![Gesichtserkennung in Deutschland nach KI-Verordnung und DSGVO](https://compound.law/assets/images/compliance/compliance_2.webp) compliance # Ist Gesichtserkennung in Deutschland legal? KI-VO & DSGVO (2026) 29\. Juni 2026 Kurzantwort Gesichtserkennung ist in Deutschland nicht generell verboten, aber stark eingeschraenkt. Biometrische Echtzeit-Identifizierung im oeffentlichen Raum und Datenbank-Scraping sind nach Art. 5 KI-Verordnung verboten. Die meisten privatwirtschaftlichen Einsaetze wie Zutrittskontrolle oder Identitaetspruefung gelten als Hochrisiko und loesen zusaetzlich Art. 9 DSGVO, eine DSFA und oft Mitbestimmungspflichten aus. - Live-Identifizierung im oeffentlichen Raum und biometrisches Datenbank-Scraping sind nach Art. 5 KI-Verordnung verboten. - Zutrittskontrolle, KYC und aehnliche Einsaetze sind meist Hochrisiko-KI und muessen bis 2. August 2026 belastbar compliant sein. - Biometrische Daten sind besondere Kategorien nach Art. 9 DSGVO; Art. 6 DSGVO allein reicht nicht. - Beschaeftigtenbezogene Einsaetze brauchen regelmaessig DSFA, Betriebsvereinbarung und eine echte nicht-biometrische Alternative. **Gesichtserkennung ist in Deutschland nur fuer begrenzte Anwendungsfaelle zulaessig.** Die Kurzantwort lautet: **Live-Identifizierung im oeffentlichen Raum ist verboten, die meisten kommerziellen Use Cases sind Hochrisiko, und biometrische Daten loesen von Anfang an Art. 9 DSGVO aus**. Wer Gesichtserkennung fuer Zutrittskontrolle, KYC oder Beschaeftigtenkontexte einsetzen will, sollte die Rechtslage nach **KI-Verordnung**, **DSGVO** und bei Mitarbeiterbezug auch nach dem **BetrVG** vor dem Rollout pruefen. ## Die schnelle Rechtsantwort Die erste praktische Frage ist nicht “Welchen Anbieter nehmen wir?”, sondern **“Ist der Use Case verboten, Hochrisiko oder nur schwer rechtssicher umzusetzen?”** | Anwendungsfall | Status in Deutschland | Worauf es vor allem ankommt | | ---------------------------------------------------------- | -------------------------------- | -------------------------------------------------------------------------------- | | Live-Identifizierung im oeffentlichen Raum | Verboten | Art. 5 KI-Verordnung; keine normale kommerzielle Ausnahme | | Aufbau biometrischer Datenbanken durch Scraping | Verboten | Art. 5 KI-Verordnung; Clearview-aehnliche Modelle sind das naheliegende Beispiel | | Zutrittskontrolle fuer Standorte oder Bueros | Meist zulaessig, aber Hochrisiko | Art. 9 DSGVO, DSFA, nicht-biometrische Alternative, oft Betriebsvereinbarung | | Kundenidentitaetspruefung / KYC | Meist zulaessig, aber Hochrisiko | Art. 9 DSGVO, Anbieterpruefung, Konformitaetsarbeit, Speichergrenzen | | Zeiterfassung oder Verhaltensmonitoring von Beschaeftigten | Besonders heikel | Mitbestimmung, Verhaeltnismaessigkeit, Aufsichtsbehoerdenrisiko | | Altersschaetzung ohne Identifizierung | Rechtlich sensibel | DSGVO bleibt relevant, sobald personenbezogene Daten verarbeitet werden | Das ist die Kernbotschaft fuer viele Suchanfragen: **Deutschland verbietet nicht jede Gesichtserkennung, aber die eingriffsintensivsten Faelle sind verboten und die uebrigen Einsaetze sind teuer zu begruenden und zu betreiben.** ## Was die KI-Verordnung verbietet Fuer Unternehmen ist zunaechst **Art. 5 KI-Verordnung** entscheidend. Die wichtigsten Verbote sind: - **biometrische Echtzeit-Fernidentifizierung in oeffentlich zugaenglichen Raeumen** - **Aufbau oder Erweiterung biometrischer Datenbanken durch Scraping** von Internetbildern oder CCTV-Material - **anlasslose biometrische Ueberwachung**, die in Richtung Massenverfolgung geht Wenn ein Projekt in diese Kategorie faellt, hilft keine bessere Richtlinie und kein staerkerer Vertrag. Dann ist der saubere rechtliche Schluss regelmaessig: **Einsatzmodell stoppen oder grundlegend aendern**. ## Wann Gesichtserkennung Hochrisiko statt verboten ist Viele kommerzielle Einsaetze sind nicht verboten, aber trotzdem schwer. **Zutrittskontrolle, Identitaetspruefung und vergleichbare Identifizierungsprozesse** sind regelmaessig **Hochrisiko-KI** und nicht bloss Komfortfunktionen. Das bedeutet typischerweise Arbeit an: - einem dokumentierten **Risikomanagement** - **technischer Dokumentation** und Logging - **menschlicher Aufsicht** und Eskalationspfaden - Leistungs- und Bias-Pruefung - einem realistischen **Konformitaets- und Implementierungsplan** bis **2. August 2026** Wenn Sie noch in der Beschaffung sind, ist genau deshalb eine fruehe Anbieterpruefung wichtig. Unsere Leitfaeden zu [KI-Gesichtserkennung](https://compound.law/de-DE/compliance/ai-facial-recognition/), [biometrischer KI-Identifizierung](https://compound.law/de-DE/compliance/ai-biometric-identification/) und der [EU-AI-Act-Frist bis August 2026](https://compound.law/de-DE/compliance/eu-ai-act-august-2026-frist-checkliste/) gehen tiefer in diese Umsetzungsfragen. ## Art. 9 DSGVO: Warum biometrische Daten die Analyse verschaerfen Gesichtserkennung ist nicht nur ein KI-Act-Thema, sondern auch ein Fall fuer **besondere Kategorien personenbezogener Daten** nach **Art. 9 DSGVO**. In der Praxis braucht ein deutsches Unternehmen meist: 1. eine **Art.-6-DSGVO-Rechtsgrundlage** 2. zusaetzlich einen **Art.-9-DSGVO-Ausnahmetatbestand** 3. eine dokumentierte Verhaeltnismaessigkeitspruefung 4. eine abgeschlossene **Datenschutz-Folgenabschaetzung (DSFA)** vor dem Start Ein haeufiger Fehler ist, sich so zu verhalten, als reiche **berechtigtes Interesse** nach Art. 6 DSGVO aus. Das ist bei biometrischer Identifizierung regelmaessig nicht tragfaehig, weil die Art.-9-Ebene zusaetzlich geprueft werden muss. Fuer Beschaffung und Vertragspruefung ist es sinnvoll, parallel den Auftragsverarbeiter-Rahmen und den allgemeinen [DSGVO-Leitfaden zur KI-Beschaffung](https://compound.law/de-DE/compliance/dsgvo-ki-beschaffung/) zu pruefen, bevor aus einem Pilot ein Produktiveinsatz wird. ## Warum Beschaeftigteneinsaetze in Deutschland noch schwerer sind Sobald Beschaeftigte betroffen sind, kommt in Deutschland eine weitere grosse Regelungsebene hinzu: **die Mitbestimmung des Betriebsrats**. Nach **§ 87 Abs. 1 Nr. 6 BetrVG** brauchen Systeme, die Verhalten oder Leistung ueberwachen koennen, regelmaessig eine **Betriebsvereinbarung**. Gesichtserkennung erzeugt dieses Risiko fast immer, auch wenn das offizielle Ziel nur Zutrittskontrolle lautet. Die arbeitsrechtliche Mindestlinie ist meist: - eine unterschriebene **Betriebsvereinbarung** - eine **DSFA** - klare Zweckbindung - eingeschraenkte Zugriffe auf Protokolle - eine echte **nicht-biometrische Alternative** - kein Umwidmen fuer Leistungsbewertung oder Disziplinarzwecke Gerade deshalb ist Gesichtserkennung fuer einfache Zeiterfassung sehr viel schwerer zu rechtfertigen, als viele Teams annehmen. Unsere Seiten zu [KI-Mitarbeiterueberwachung](https://compound.law/de-DE/compliance/ai-employee-monitoring/) und [KI-Recruiting-Screening](https://compound.law/de-DE/compliance/ai-recruitment-screening/) beleuchten benachbarte Risiken. ## Was Unternehmen vor dem 2. August 2026 tun sollten Wenn der Use Case nicht verboten ist, lautet die naechste Frage: Lässt sich der Einsatz bis zum **2. August 2026** operativ belastbar aufsetzen? Eine kurze Arbeitsliste: 1. **Use Case klassifizieren** - vor Beschaffung und Pilot. 2. **Beide DSGVO-Ebenen abbilden** - Art. 6 und Art. 9. 3. **DSFA frueh starten**, solange das Design noch veraenderbar ist. 4. **Beschaeftigtenbezug pruefen** und den Betriebsrat rechtzeitig einbinden. 5. **Anbieter-Nachweise verlangen**: technische Dokumentation, Risikokontrollen, Registrierungsstatus, Vertragsunterstuetzung. 6. **Alternative ohne Biometrie** einplanen. 7. **Speicher- und Loeschregeln** vor dem Start festlegen. Der haeufigste kommerzielle Fehler ist, Gesichtserkennung wie einen normalen IT-Einkauf zu behandeln und die Rechtspruefung erst nach einem erfolgreichen Pilot nachzuholen. In Deutschland scheitert genau diese Reihenfolge oft. ## Marktbezug: Warum das Thema trotzdem waechst Trotz der strengen Rechtslage bleibt Deutschland ein relevanter Markt fuer Gesichtserkennung, vor allem in: - regulierter **Identitaetspruefung** - **unternehmerischer Zutrittskontrolle** - Flughafen- und Transportinfrastruktur - staatlichen und grenzbezogenen Biometriesystemen unter eigenen Rechtsrahmen Das Marktwachstum lockert die Rechtslage nicht. Es bedeutet nur, dass Unternehmen mit sauberer Dokumentation, Governance und Beschaffungsdisziplin bessere Einsatzchancen haben als solche, die sich auf Produktmarketing verlassen. ## FAQ ### Ist Gesichtserkennung in Deutschland legal? Ja, aber nur in engen Konstellationen. Live-Identifizierung im oeffentlichen Raum und Datenbank-Scraping sind verboten. Zutrittskontrolle und Identitaetspruefung koennen zulaessig sein, wenn DSGVO, DSFA und KI-VO-Anforderungen eingehalten werden. ### Was ist nach der KI-Verordnung verboten? Vor allem Echtzeit-Fernidentifizierung in oeffentlich zugaenglichen Raeumen und das Scraping von Bildern fuer biometrische Datenbanken. Das sind keine normalen Compliance-Probleme, sondern klare Verbotsfaelle. ### Brauche ich immer ausdrueckliche Einwilligung? Nicht in jedem theoretischen Sonderfall, aber fuer viele privatwirtschaftliche Modelle ist sie der am besten vertretbare Art.-9-Weg. Sie muss dann aber auch wirklich freiwillig, informiert und widerruflich ausgestaltet sein. ### Warum ist der Einsatz am Arbeitsplatz schwieriger? Weil Deutschland Arbeitsrecht, Mitbestimmung und Datenschutz kumuliert. Sobald Beschaeftigte betroffen sind, werden Betriebsrat, Verhaeltnismaessigkeit und Monitoring-Risiken zentral. ### Ist eine DSFA Pflicht? In den meisten realen Gesichtserkennungsprojekten ja. Je systematischer Personen identifiziert werden, desto schwerer ist es, eine DSFA fuer entbehrlich zu halten. ### Was sollte ein Due-Diligence-Paket des Anbieters enthalten? Mindestens: Systemklassifizierung, technische Dokumentation, KI-VO-Roadmap, DSGVO-Unterstuetzung, Logging-Konzept, Speicherlogik und Vertragsunterlagen passend zu den tatsaechlichen Datenflussen. *** Compound Law beraet Unternehmen zur **Gesichtserkennung in Deutschland**, insbesondere zu KI-VO-Klassifizierung, Art. 9 DSGVO, DSFA, Betriebsratsverhandlungen und Anbieter-Due-Diligence. Diese Seite enthaelt allgemeine Informationen und ersetzt keine Rechtsberatung fuer einen konkreten Einzelfall. ## Weitere Compliance-Guides [![EU KI-Verordnung Beschaffung vor 2027 fuer deutsche Einkaeufer](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [compliance](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) ### [EU KI-Verordnung Beschaffung vor 2027 Deutschland](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [EU KI-Verordnung Beschaffung vor 2027: Deutsche Einkaeufer sollten Vertragslogik und Betreiberunterstuetzung vor dem Rollout klaeren.](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [![KI-Rechtsberatung vs KI-Rechtsassistent fuer Unternehmen](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) [Leitfäden](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) ### [KI-Rechtsberatung vs KI-Rechtsassistent fuer Unternehmen](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) [Vergleichen Sie KI-Rechtsberatung mit einem KI-Rechtsassistenten fuer deutsche Unternehmen bei KI-Beschaffung, DSGVO, KI-Verordnung und Haftung.](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) [![EU AI Act Fristen Deutschland mit den Daten 2026 2027 und 2028](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) [compliance](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) ### [EU AI Act Fristen Deutschland: 2026, 2027 und 2028](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) [EU AI Act Fristen Deutschland: was am 2. August 2026, 2. Dezember 2027 und 2. August 2028 fuer KI-Beschaffung und Compliance zaehlt.](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) ## Häufige Fragen Ja, aber nur in engen und sauber dokumentierten Konstellationen. Biometrische Echtzeit-Identifizierung in oeffentlich zugaenglichen Raeumen und der Aufbau biometrischer Datenbanken durch Scraping sind nach Art. 5 KI-Verordnung verboten. Privatwirtschaftliche Einsaetze wie Zutrittskontrolle oder Identitaetspruefung koennen zulaessig sein, brauchen aber regelmaessig Art. 9 DSGVO, eine DSFA und Hochrisiko-Compliance vor dem 2. August 2026. Besonders klar verboten sind die Echtzeit-Fernidentifizierung im oeffentlichen Raum, das Scraping von Gesichtsbildern aus Internet oder CCTV zum Datenbankaufbau und weitergehende anlasslose biometrische Ueberwachung. Diese Verbote gelten nicht nur fuer Grosskonzerne, sondern fuer den gesamten Markt. In aller Regel ja. Gesichtserkennung verarbeitet biometrische Daten zur Identifizierung natuerlicher Personen und faellt damit unter Art. 9 DSGVO. Unternehmen brauchen deshalb sowohl eine Rechtsgrundlage nach Art. 6 DSGVO als auch einen gesonderten Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO. In den meisten deutschen Workplace-Szenarien ja. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat Mitbestimmungsrechte bei Systemen, die Verhalten oder Leistung ueberwachen koennen. Selbst bei Zutrittskontrolle ist eine Betriebsvereinbarung vor Go-live regelmaessig noetig. Fuer die meisten Hochrisiko-Systeme ist der 2. August 2026 die zentrale Umsetzungsmarke. Bis dahin sollten Risikomanagement, Dokumentation, Aufsicht, Vertragslage und die praktischen Compliance-Schritte fuer den jeweiligen Einsatzfall stehen. Fast immer. Systematische biometrische Identifizierung ist ein klassischer Art.-35-DSGVO-Fall und wird von deutschen Aufsichtsbehoerden regelmaessig als DSFA-pflichtig behandelt. Die DSFA sollte vor dem Rollout abgeschlossen sein, nicht erst nach Pilot oder Einkauf. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "Ist Gesichtserkennung in Deutschland legal? KI-VO & DSGVO (2026)", "description": "Gesichtserkennung ist in Deutschland nur eng zulaessig. Erfahren Sie, was die KI-Verordnung verbietet und wann Art. 9 DSGVO greift.", "image": "https://compound.law/assets/images/compliance/compliance_2.webp", "datePublished": "2026-06-29T00:00:00.000Z", "dateModified": "2026-06-29T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/compliance/gesichtserkennung-deutschland/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "Compliance-Guides", "item": "https://compound.law/de-DE/compliance/" }, { "@type": "ListItem", "position": 3, "name": "Ist Gesichtserkennung in Deutschland legal? KI-VO & DSGVO", "item": "https://compound.law/de-DE/compliance/gesichtserkennung-deutschland/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Ist Gesichtserkennung in Deutschland legal?", "acceptedAnswer": { "@type": "Answer", "text": "Ja, aber nur in engen und sauber dokumentierten Konstellationen. Biometrische Echtzeit-Identifizierung in oeffentlich zugaenglichen Raeumen und der Aufbau biometrischer Datenbanken durch Scraping sind nach Art. 5 KI-Verordnung verboten. Privatwirtschaftliche Einsaetze wie Zutrittskontrolle oder Identitaetspruefung koennen zulaessig sein, brauchen aber regelmaessig Art. 9 DSGVO, eine DSFA und Hochrisiko-Compliance vor dem 2. August 2026." } }, { "@type": "Question", "name": "Welche Gesichtserkennungsnutzungen sind verboten?", "acceptedAnswer": { "@type": "Answer", "text": "Besonders klar verboten sind die Echtzeit-Fernidentifizierung im oeffentlichen Raum, das Scraping von Gesichtsbildern aus Internet oder CCTV zum Datenbankaufbau und weitergehende anlasslose biometrische Ueberwachung. Diese Verbote gelten nicht nur fuer Grosskonzerne, sondern fuer den gesamten Markt." } }, { "@type": "Question", "name": "Greift Art. 9 DSGVO bei Gesichtserkennung?", "acceptedAnswer": { "@type": "Answer", "text": "In aller Regel ja. Gesichtserkennung verarbeitet biometrische Daten zur Identifizierung natuerlicher Personen und faellt damit unter Art. 9 DSGVO. Unternehmen brauchen deshalb sowohl eine Rechtsgrundlage nach Art. 6 DSGVO als auch einen gesonderten Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO." } }, { "@type": "Question", "name": "Brauchen Arbeitgeber eine Betriebsvereinbarung?", "acceptedAnswer": { "@type": "Answer", "text": "In den meisten deutschen Workplace-Szenarien ja. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat Mitbestimmungsrechte bei Systemen, die Verhalten oder Leistung ueberwachen koennen. Selbst bei Zutrittskontrolle ist eine Betriebsvereinbarung vor Go-live regelmaessig noetig." } }, { "@type": "Question", "name": "Welche Frist ist fuer Hochrisiko-Gesichtserkennung wichtig?", "acceptedAnswer": { "@type": "Answer", "text": "Fuer die meisten Hochrisiko-Systeme ist der 2. August 2026 die zentrale Umsetzungsmarke. Bis dahin sollten Risikomanagement, Dokumentation, Aufsicht, Vertragslage und die praktischen Compliance-Schritte fuer den jeweiligen Einsatzfall stehen." } }, { "@type": "Question", "name": "Ist eine DSFA fuer Gesichtserkennung noetig?", "acceptedAnswer": { "@type": "Answer", "text": "Fast immer. Systematische biometrische Identifizierung ist ein klassischer Art.-35-DSGVO-Fall und wird von deutschen Aufsichtsbehoerden regelmaessig als DSFA-pflichtig behandelt. Die DSFA sollte vor dem Rollout abgeschlossen sein, nicht erst nach Pilot oder Einkauf." } } ] } ] ```