DSGVO & EU AI Act Guide — Compliance-sichere KI-Fotoboxen auf B2B-Events

Die Erfassung von Leads und Fotos auf Events ist ein datenschutzrechtliches Minenfeld. Ein Gesichtsbild ist ein biometrisches Datum nach Art. 9 DSGVO. Werden diese Bilder unverschlüsselt in US-Clouds hochgeladen oder E-Mails ohne sauberes Double-Opt-In gespeichert, drohen Konzernen massive Compliance-Strafen. Enterprise-Event-Marketing erfordert eine IT-Infrastruktur, die nicht nur Bilder produziert, sondern jedem Audit der internen Rechts- und IT-Sicherheitsabteilung standhält. Dieser Guide erklärt, wie UpReach die DSGVO und den EU AI Act technisch umsetzt.

Compliance-Details anfragen Shop besuchen

Mehr als 200 B2B-Marken aus ganz Europa vertrauen auf UpReach — von der Agentur bis zum Enterprise-Konzern.

Welche vier kritischen Datenpunkte greift die DSGVO bei Events?

Sobald ein Messebesucher vor ein Terminal tritt, greift die DSGVO auf vier Ebenen gleichzeitig.

Das Gesichtsbild: Ein Gesicht ist ein biometrisches Datum — besondere Kategorie nach Art. 9 DSGVO. Die Verarbeitung erfordert ausdrückliche Einwilligung (kein berechtigtes Interesse möglich), die vor der Aufnahme eingeholt werden muss.

Die Kontaktdaten: Name, Firmen-E-Mail, Unternehmen — erhoben über das Touchscreen-Formular — fallen unter Standard-Personendaten nach Art. 6 DSGVO. Die Rechtsgrundlage ist Einwilligung (Newsletter) oder berechtigtes Interesse (Lead-Dokumentation bei B2B-Kontakt).

Nutzungsdaten: Zeitstempel des Opt-Ins und Metadaten beim QR-Code-Download müssen protokolliert werden — für die Nachweispflicht nach Art. 7 Abs. 1 DSGVO.

Das KI-Rendering: Der Prozess, in dem ein Gesicht auf ein anderes Motiv übertragen wird (Face Swap), ist eine biometrische Verarbeitung. Er muss technisch so gestaltet sein, dass die Biometrie das Terminal nicht verlässt — weder temporär noch dauerhaft.

Wie werden KI-Features DSGVO-konform betrieben?

Die kritische Schwachstelle vieler Fotobox-Anbieter ist fehlende DSGVO-Dokumentation. Um einen Face Swap zu berechnen, laden Consumer-Apps das Gesichtsfoto in eine externe Serverfarm — oft US-basiert. Für B2B-Events mit Konzernkunden ist das ein Compliance-Albtraum.

UpReach DSGVO-konforme KI-Verarbeitung: Alle Terminals verfügen über dedizierte KI-GPUs. Die KI-Verarbeitung (Face Swap, Background Removal, Style Transfer) läuft DSGVO-konform. Die biometrischen Metadaten verlassen das Terminal zu keinem Zeitpunkt — nicht während der Verarbeitung, nicht für den CRM-Push.

Was über das Netz geht: Nur der fertige Output — das CI-konforme Ergebnisbild — wird für den E-Mail-Versand oder den QR-Code-Download ans Backend übertragen. Keine Biometrie, keine Rohbilder, keine Gesichtsdaten.

EU AI Act Relevanz: Die DSGVO und der EU AI Act stufen biometrische Echtzeit-Identifikation (Überwachung) als Hochrisiko ein. Lokale Verarbeitung DSGVO-konform ist die technische Grundlage dafür, dass UpReach Terminals nicht in diese Risikokategorie fallen.

Was bedeutet Löschung nach dem Rendering in der Praxis?

Was auf dem Gerät verarbeitet wird, wird nach Abschluss der Interaktion gelöscht. Die Lösch-Policy ist keine freiwillige Selbstverpflichtung — sie ist im System hinterlegt und automatisiert.

Automatisches Löschen nach Ausgabe: Sobald der Besucher sein Bild per E-Mail erhalten oder per QR-Code heruntergeladen hat, löscht das Terminal das biometrische Rohbild unwiederbringlich vom lokalen Speicher. Kein Bild verbleibt auf dem Gerät nach dem Event.

Konfigurierbare Fristen für Metadaten: Über das Cloud-CMS werden Löschroutinen für alle verbleibenden Metadaten (Kontaktdaten im lokalen Cache) nach definierten Fristen konfiguriert — standardmäßig 30 Tage, anpassbar auf Kundenwunsch für Konzern-Compliance-Vorgaben.

Auftragsverarbeitungsvertrag (AVV): Gemäß Art. 28 DSGVO schließt UpReach standardmäßig einen AVV mit allen B2B-Kunden ab. Der AVV dokumentiert Serverstandort (Frankfurt), Verschlüsselungsstandards (SSL/TLS) und Löschroutinen — und ist Grundlage für CISO-Audits in Konzernstrukturen.

Wie positioniert sich UpReach gegenüber den Anforderungen des EU AI Acts?

Der EU AI Act (seit 2026 voll anwendbar) kategorisiert KI-Systeme nach Risikoklassen. Biometrische Echtzeit-Identifikation zu Überwachungszwecken ist Hochrisiko und in öffentlichen Räumen weitgehend verboten.

UpReach Terminals fallen nicht darunter: Face Swap transformiert Gesichter kreativ — es identifiziert keine Personen für Überwachungszwecke. Die Interaktion ist freiwillig, zweckgebunden und mit expliziter Einwilligung verbunden. Das ist das strukturelle Gegenteil von biometrischer Überwachung.

Transparenzpflicht erfüllt: Der EU AI Act fordert Transparenz beim Einsatz von KI gegenüber dem Nutzer. Das UpReach Interface macht an jeder relevanten Stelle deutlich: "Hier wird KI eingesetzt." Der Nutzer weiß, dass sein Foto KI-basiert transformiert wird — keine versteckten KI-Prozesse.

Dokumentierbare Modelle: Für Konzern-Compliance-Audits liefert UpReach auf Anfrage eine Dokumentation der eingesetzten KI-Modelle — die Grundlage dafür, dass Legal- und Compliance-Teams den Einsatz gegenüber internen Gremien vertreten können.

Fazit: Datenschutz als Wettbewerbsvorteil

DSGVO ist keine lästige Pflicht — sie ist die Grundlage für Enterprise-Lead-Generierung in regulierten Branchen. Pharma, Automobil, Finanzdienstleistungen: Konzerne in diesen Sektoren kaufen nur bei Anbietern, die den CISO-Audit bestehen. UpReach liefert die ISO-9001-zertifizierte Hardware, den AVV und die technische Architektur, die für diese Audits notwendig sind.

Häufige Fragen zu DSGVO und Compliance bei Fotoboxen

Liefert UpReach einen Auftragsverarbeitungsvertrag (AVV)?

Ja. Gemäß Art. 28 DSGVO schließt UpReach standardmäßig einen AVV mit allen B2B-Kunden ab. Dieser dokumentiert den Serverstandort (Frankfurt/Deutschland), Verschlüsselungsstandards (SSL/TLS) und die Löschroutinen (Löschung nach dem Rendering). Der AVV ist die Grundlage für CISO-Audits in Konzernstrukturen.

Erfüllen die Terminals das Kopplungsverbot und Double-Opt-In?

Ja. Das Formular am Touchscreen verwendet granulare Checkboxen — keine vorab angekreuzten Felder (Pre-Ticked Boxes). Der Besucher stimmt getrennt und aktiv der Foto-Erstellung und dem optionalen Newsletter zu. Zusätzlich versendet das Backend eine Double-Opt-In E-Mail, bevor der Kontakt im CRM aktiviert wird. Alle Einwilligungen werden mit Zeitstempel dokumentiert.

Wie sichert UpReach Events mit Minderjährigen ab?

Bei Veranstaltungen, bei denen Minderjährige unter 16 Jahren absehbar anwesend sind, wird ein digitaler Freigabe-Schritt in die Software integriert. Erziehungsberechtigte müssen am Terminal oder per QR-Code auf dem eigenen Smartphone digital einwilligen, bevor das Bild oder die Daten verarbeitet werden.

Dürfen Bilder ungefragt auf eine Social Wall gestreamt werden?

Nein. Die Übertragung von Bildern auf ein Digital Signage Display (Social Wall) erfordert eine separate, explizite Einwilligung am Terminal. Für Live-Events empfehlen wir zusätzlich eine Moderations-Software: Ein Mitarbeiter gibt Bilder auf einem Backend-Tablet frei, bevor sie öffentlich auf dem Screen erscheinen — Brand Safety und DSGVO-Compliance gleichzeitig.

Ist UpReach EU AI Act-konform?

Ja. UpReach Terminals fallen nicht in die Hochrisiko-Kategorie des EU AI Acts, weil sie Gesichter kreativ transformieren — nicht identifizieren oder überwachen. Die Interaktion ist freiwillig, zweckgebunden und transparent. Für Compliance-Audits ist die technische Dokumentation der eingesetzten KI-Modelle auf Anfrage verfügbar.