KI-Videos und DSGVO 2026 — was Unternehmen bei KI-generiertem Bewegtbild beachten müssen

Seit dem 2. August 2026 gelten die Transparenzpflichten der EU-KI-Verordnung. Die Kennzeichnung ist aber nur die sichtbare Hälfte des Themas — die unsichtbare ist der Datenschutz. Sobald ein KI-Video das Gesicht, die Stimme oder die Gestalt eines echten Menschen aufgreift, greift die DSGVO, unabhängig von jedem Hinweis „KI-generiert” unter dem Film. Dieser Beitrag zeigt Dir, wann ein KI-Gesicht ein personenbezogenes Datum ist, was eine belastbare Einwilligung für ein digitales Double enthalten muss, warum ein Widerruf einen fertigen Film kippen kann, welche Verträge Du mit KI-Anbietern brauchst und was in Deine Datenschutzerklärung gehört — mit drei Fällen aus der Praxis.

Vorab: Wir produzieren Filme, wir sind keine Anwaltskanzlei. Dieser Text ordnet den Stand vom 3. August 2026 ein und ersetzt keine Rechtsberatung. Bei digitalen Doubles echter Menschen gehört die Konstellation anwaltlich geprüft: Manches hier ist rechtlich nicht abschließend geklärt.

Zwei Regelwerke, zwei Baustellen

Die KI-Verordnung fragt: Merkt der Zuschauer, dass er synthetisches Material sieht? Ihre Transparenzpflichten aus Artikel 50 sind seit dem 2. August 2026 anwendbar — Betreiber, die Deepfakes veröffentlichen, müssen das offenlegen. Der im Juli 2026 in Kraft getretene „Digital Omnibus on AI” hat daran nichts geändert; er gibt Anbietern bereits am Markt befindlicher generativer Systeme lediglich für die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2 Zeit bis zum 2. Dezember 2026. Wie Du die Kennzeichnung umsetzt, steht in unserem Beitrag zur KI-Kennzeichnungspflicht für Video.

Die DSGVO fragt etwas anderes: Wessen Daten steckst Du da in die Maschine — und mit welchem Recht? Ein sauber gekennzeichnetes KI-Video kann datenschutzrechtlich trotzdem rechtswidrig sein. Kennzeichnung heilt keinen Datenschutzverstoß, und eine Einwilligung ersetzt keine Kennzeichnung.

Wann ist ein KI-Gesicht ein personenbezogenes Datum?

Frei erfunden — oder doch nicht?

Die DSGVO greift nur bei Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine vollständig synthetische Figur, die keiner realen Person zuzuordnen ist, ist kein personenbezogenes Datum. Das ist der bequeme Fall — und der seltenere. „Frei erfunden” heißt nämlich: keine Referenzfotos echter Menschen, keine Prompts mit Namen realer Personen, kein auf eine konkrete Person feinjustiertes Modell.

Kritisch wird es, sobald das Ergebnis einer realen Person erkennbar ähnelt — gewollt oder zufällig. Maßgeblich ist nicht Deine Absicht, sondern die Erkennbarkeit, bei Gesicht, Stimme, Statur und charakteristischer Umgebung gleichermaßen. Wie ernst das genommen wird, zeigt das Landgericht Berlin II (Urteil vom 20.08.2025, Az. 2 O 202/24): Ein YouTuber hatte eine KI-Stimme verwendet, die einer bekannten Synchronstimme nachempfunden war. Das Gericht sah darin einen Eingriff in das allgemeine Persönlichkeitsrecht und sprach eine fiktive Lizenzgebühr zu — entscheidend war die Wiedererkennbarkeit, nicht die Verwendung von Originalaufnahmen. Ein „Soundalike” oder „Lookalike” ist also kein rechtsfreier Umweg um die Einwilligung.

Biometrie: Wann Artikel 9 DSGVO ins Spiel kommt

Ein Gesichtsbild ist nicht automatisch ein biometrisches Datum nach Artikel 9 DSGVO. Es wird erst dazu, wenn es mit speziellen technischen Verfahren zur eindeutigen Identifizierung verarbeitet wird — eine normale Videoaufnahme fällt also nicht darunter.

Bei digitalen Doubles sieht das anders aus. Wird ein Modell auf Aufnahmen einer konkreten Person feinjustiert, werden Gesichtsgeometrie, Proportionen und Mimikmuster vermessen und so verankert, dass genau diese eine Person abbildbar wird. Nach verbreiteter Einschätzung in der datenschutzrechtlichen Literatur dürfte darin eine Verarbeitung biometrischer Daten liegen — und Artikel 9 sieht ein Verarbeitungsverbot vor, das praktisch nur über eine ausdrückliche Einwilligung durchbrochen werden kann. Höchstrichterlich geklärt ist das nicht — setze die Einwilligung also so auf, dass sie auch den strengeren Maßstab trägt.

Digitale Doubles echter Mitarbeitender: Die Einwilligung ist der Knackpunkt

Warum die alte Foto-Freigabe nicht reicht

In vielen Personalordnern liegt eine Erklärung: „Ich bin einverstanden, dass Foto- und Filmaufnahmen von mir für die Unternehmenskommunikation verwendet werden.” Sie trägt einen KI-Einsatz in aller Regel nicht, denn eine Einwilligung deckt nur ab, worüber informiert wurde. Wer 2019 zugestimmt hat, in einem Imagefilm zu erscheinen, hat nicht zugestimmt, dass sein Gesicht 2026 ein generatives Modell speist, das ihn Sätze sagen lässt, die er nie gesagt hat.

Dazu kommt die Besonderheit im Beschäftigungsverhältnis: § 26 Absatz 2 BDSG verlangt, bei der Freiwilligkeit das Abhängigkeitsverhältnis zu berücksichtigen. Es muss eine echte Wahlmöglichkeit geben, und eine Verweigerung darf keine Nachteile nach sich ziehen — praktisch also eine dokumentierte Alternative. Und schließlich das Kunsturhebergesetz: Nach § 22 KUG dürfen Bildnisse nur mit Einwilligung verbreitet werden, und das Bundesarbeitsgericht hat für Werbefilme entschieden, dass diese Einwilligung schriftlich zu erfolgen hat (Urteil vom 11.12.2014, 8 AZR 1010/13). Ob das KUG neben der DSGVO für Unternehmenskommunikation anwendbar bleibt, ist umstritten — also die Einwilligung so gestalten, dass sie beide Regime erfüllt.

Was in eine belastbare Einwilligung gehört

• Was erzeugt wird: Bild, Stimme, beides? Standbild, bewegtes Double, sprechender Avatar?
• Ausgangsdaten und Systeme: Welche Aufnahmen aus welchem Dreh — und welche Anbieter konkret, nicht nur „KI-Tools”.
• Zwecke, Kanäle und Dauer: Recruiting ja, Produktwerbung nein? Eine Befristung ist robuster als ein unbefristetes „für immer”.
• Was mit dem Modell passiert: Wo liegt die Modell- oder Referenzdatei, wer hat Zugriff, wann wird sie gelöscht?
• Ausdrückliche Ausschlüsse: keine Weiterverwendung als Trainingsmaterial, keine Weitergabe an Dritte.
• Widerrufsbelehrung samt Folgen.

Der Widerruf — und was er anrichtet

Hier liegt das größte praktische Risiko. Nach Artikel 7 Absatz 3 DSGVO kann eine Einwilligung jederzeit ohne Begründung widerrufen werden; ab dann fehlt die Grundlage für alles Weitere. Das KUG verlangt zwar einen plausiblen Grund, wenn die Person nicht besonders hervorgehoben wurde — bei einem digitalen Double greift das kaum, denn dort ist sie hervorgehoben. Wer eine Kampagne so baut, dass eine Person in dreißig Assets unersetzbar ist, hat ein Klumpenrisiko produziert.

Fall aus der Praxis: Ein Maschinenbauer will einen Recruiting-Film drehen. Der beliebte Schichtleiter soll durch fünf Abteilungen führen, steht aber nur an einem Tag zur Verfügung — also ein Drehtag, den Rest per KI. Zu klären ist einiges: Wird ein personenspezifisches Modell erzeugt, steht Artikel 9 DSGVO im Raum, und die Einwilligung muss ausdrücklich auf biometrische Verarbeitung lauten. Erscheint er in einer Abteilung, in der er nie gearbeitet hat, entsteht eine unzutreffende Aussage über ihn — auch ein Problem beim Grundsatz der Richtigkeit. Und was, wenn er in acht Monaten kündigt und widerruft? Der praktikable Weg ist meist eine Mischung: tragende Szenen real drehen, KI nur für Übergänge, Einwilligung befristen. Mehr zu unserer Arbeit im Bereich Industrie und Maschinenbau.

Archivmaterial als Referenz für KI-Shots

Aus zehn Jahren Unternehmensfilm liegen Hunderte Stunden Footage im Archiv — als Referenzmaterial für KI-Shots technisch hervorragend geeignet, datenschutzrechtlich aber eine Zweckänderung. Nach Artikel 6 Absatz 4 DSGVO ist die Weiterverarbeitung zu einem anderen Zweck nur zulässig, wenn dieser mit dem ursprünglichen vereinbar ist — und dabei zählt, was die betroffenen Personen vernünftigerweise erwarten durften. Dass ihre Aufnahmen einmal ein generatives Modell füttern, dürften Beschäftigte 2018 nicht erwartet haben. Der Landesbeauftragte für den Datenschutz Baden-Württemberg empfiehlt, die Phasen getrennt zu bewerten: Erhebung, Training, Bereitstellung, Nutzung und Ergebnisverwendung brauchen je eine eigene Betrachtung.

Fall aus der Praxis: Ein kommunaler Versorger will eine Schulungsreihe mit zwölf Modulen produzieren. Statt zwölf Drehtagen soll ein KI-Avatar der langjährigen Ausbilderin durch alle Module führen; ihre Stimme wird geklont, das Material stammt aus früheren Sicherheitsunterweisungen. Nach neun Monaten wechselt sie den Arbeitgeber und widerruft. Die Module dürfen ab dann nicht weiter verbreitet werden, und über Artikel 17 DSGVO müssen Stimm- und Bildmodell samt Referenzdateien gelöscht werden — die Reihe ist unbrauchbar. Vermeidbar wäre eine Konstruktion, die weniger an einer Person hängt: neutrale Avatar-Figur, Off-Stimme oder modulare Struktur. Öffentliche Auftraggeber haben zusätzlich landesrechtliche Vorgaben und oft die Personalratsbeteiligung im Blick zu behalten; mehr dazu bei unserer Arbeit mit öffentlicher Verwaltung und Kommunen.

Trainingsdaten: Wer haftet für das, was im Modell steckt?

Der Europäische Datenschutzausschuss hat in Stellungnahme 28/2024 (Dezember 2024) Position bezogen:

• KI-Modelle sind nicht automatisch anonym. Ein mit personenbezogenen Daten trainiertes Modell gilt nur als anonym, wenn sowohl die Wahrscheinlichkeit direkter Extraktion als auch die Wahrscheinlichkeit, solche Daten über Abfragen zu erlangen, unerheblich ist.
• Berechtigtes Interesse ist möglich, aber nicht geschenkt. Der EDSA verlangt einen dreistufigen Test — inklusive der Frage, womit betroffene Personen vernünftigerweise rechnen mussten.
• Rechtswidrige Trainingsdaten können auf den Einsatz durchschlagen. Wurde ein Modell mit rechtswidrig verarbeiteten Daten entwickelt, kann das auf die Rechtmäßigkeit seines Einsatzes durchschlagen.

Der letzte Punkt ist der unangenehme: Du kannst Dich nicht darauf zurückziehen, „nur” Anwender zu sein. Urheberrechtlich weist die Entwicklung in dieselbe Richtung — das Landgericht München I hat am 11.11.2025 (Az. 42 O 14139/24, GEMA gegen OpenAI) entschieden, dass die Memorisierung geschützter Werke im Modell keine privilegierte Nutzung ist und der Anbieter für die Ausgabe verantwortlich bleibt. Wer ein KI-Video ausspielt, ist aber derjenige, der verbreitet. Wähle also Anbieter, die nachvollziehbare Aussagen zu ihrer Datenbasis machen, und lass Dir Freistellungsregelungen in den Vertrag schreiben.

Auftragsverarbeitung, AVV und der Weg der Daten in die USA

Verarbeitet der KI-Anbieter Daten ausschließlich weisungsgebunden für Dich, ist er Auftragsverarbeiter — dann brauchst Du einen Vertrag nach Artikel 28 DSGVO. Verfolgt er eigene Zwecke, etwa die Verbesserung seiner Modelle, kann eine gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO vorliegen. Dieselbe Frage stellt sich zwischen Dir und Deiner Produktionsfirma und gehört in den Produktionsvertrag.

Der AVV regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung, Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Unterauftragsverarbeiter sowie Löschung nach Leistungsende. Beim Einsatz von KI-Diensten ist er zwingend, sobald personenbezogene Daten im Spiel sind — darauf weist auch die IHK hin. Woran viele Projekte scheitern: Consumer-Tarife sind meist nicht AVV-fähig — Eingaben fließen dort teils standardmäßig in die Modellverbesserung.

Drittlandtransfer: der US-Faktor

Die meisten leistungsfähigen KI-Dienste im Bewegtbild sitzen in den USA oder nutzen dort Infrastruktur — dafür brauchst Du eine Grundlage nach Kapitel V DSGVO. Der EU-US-Angemessenheitsbeschluss („Data Privacy Framework”) gilt weiterhin — das Gericht der Europäischen Union hat die Klage dagegen am 03.09.2025 abgewiesen (Rs. T-553/23, Latombe), das Rechtsmittel ist beim EuGH anhängig. Das Fundament steht aber unter Druck: Das US-Aufsichtsgremium PCLOB, auf dessen Kontrollfunktion sich die Kommission gestützt hat, ist seit Januar 2025 ohne Beschlussfähigkeit. Aufsichtsbehörden empfehlen daher, Standardvertragsklauseln als zweite Absicherung vorzuhalten.

Fall aus der Praxis: Ein Unternehmen im Bereich Medizintechnik lässt einen Anwendungsfilm produzieren. Im Rohmaterial sind Patientinnen und Patienten zu sehen, deren Einwilligung für den Film vorliegt. In der Postproduktion soll ein cloudbasiertes KI-Tool für Upscaling und Retusche zum Einsatz kommen — das Rohmaterial ginge dabei auf US-Server. Hier stapeln sich die Probleme: Die Einwilligung deckt den Film, nicht die Übermittlung ins Drittland. Es liegen Gesundheitsdaten nach Artikel 9 DSGVO nahe, sobald ein Rückschluss auf Behandlung oder Diagnose möglich ist. Und die Kette braucht einen AVV samt Transfergrundlage. Der saubere Weg wird von Anfang an mitgedacht: Verarbeitung in der EU wo möglich, sensibles Material nicht in externe Clouds, KI-Schritte auf Material ohne erkennbare Personen beschränken. Wie wir bei Projekten mit Unternehmen aus Medizin und Pharma arbeiten, klären wir deshalb vor dem ersten Drehtag.

Betroffenenrechte bei KI-Material

Beim Auskunftsrecht (Artikel 15 DSGVO) kann eine Mitarbeiterin wissen wollen, welche Aufnahmen in welchem System gelandet sind und an wen sie übermittelt wurden — wer seine Materialflüsse nicht kennt, kann das nicht beantworten. Beim Widerspruch (Artikel 21 DSGVO) musst Du zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung beenden. Und oft übersehen: Die Richtigkeit (Artikel 5 Absatz 1 Buchstabe d) gilt auch hier — lässt ein KI-Video eine Person Dinge sagen, die nicht stimmen, ist das nicht nur ein Persönlichkeitsrechtsthema.

Am unbequemsten ist die Löschung (Artikel 17 DSGVO). Bei Videodateien ist sie trivial, bei einem trainierten Modell nicht: Modelle speichern keine abgegrenzten Datensätze, sondern Muster, und gezieltes Entfernen einzelner Personen ist teils nur durch erneutes Training möglich. Aufsichtsbehörden gehen davon aus, dass die Löschpflicht auch das Modell erfasst, wenn dieses personenbezogene Informationen speichert oder reproduzierbar macht. Praktisch: personenspezifische Modelle separat halten, Löschbarkeit vertraglich zusichern lassen — und pro Projekt eine Materialliste führen: Aufnahmen, Personen, Einwilligung, Tool, Speicherort, Löschfrist.

Was in Datenschutzerklärung und Verträge gehört

Aus Artikel 13 und 14 DSGVO folgt, dass betroffene Personen über Zwecke, Rechtsgrundlagen, Empfänger, Drittlandübermittlungen samt Garantien, Speicherdauer, ihre Rechte und ggf. automatisierte Entscheidungsfindung informiert werden müssen — Empfänger so konkret wie möglich. Wird KI-bearbeitetes Material mit Personenbezug ausgespielt, gehört ein verständlicher Abschnitt in die Datenschutzerklärung; ein pauschales „Wir setzen KI ein” reicht nicht. Für die Beschäftigteninformation gilt dasselbe konkreter, und wo ein Betriebs- oder Personalrat existiert, ist die Beteiligung mitzudenken: Technische Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, unterliegen der Mitbestimmung; bei Hochrisiko-KI am Arbeitsplatz verpflichtet Artikel 26 Absatz 7 KI-Verordnung Betreiber zusätzlich, Beschäftigte vorab zu informieren.

Im Produktionsvertrag sollten geregelt sein: Rollenverteilung nach DSGVO, zulässige und unzulässige KI-Systeme, Umgang mit Rohmaterial und Löschfristen, Zusicherungen zur Trainingsdatenbasis, Rechteketten für Likeness und Stimme, Verantwortung für die Kennzeichnung — und wer welche Freigaben einholt. Zu prüfen ist außerdem eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO; bei biometrischen Verarbeitungen liegt sie oft nahe. Und nach Artikel 4 der KI-Verordnung müssen Unternehmen seit Februar 2025 für ausreichende KI-Kompetenz ihrer Beschäftigten sorgen.

Ein Blick voraus: Auf EU-Ebene wird ein weiterer „Digital Omnibus” verhandelt, der auch die DSGVO ändern soll — im Gespräch war ein Artikel 88c zum KI-Training auf Grundlage berechtigter Interessen. Dieser Teil ist Stand Anfang August 2026 nicht beschlossen; die Ratsposition sieht eine Streichung vor. Plane also nicht mit Erleichterungen, die es noch nicht gibt.

Ein Gedanke zum Schluss, weniger juristisch als handwerklich: Vieles von dem, was KI im Bewegtbild verspricht, lässt sich mit einem gut geplanten Drehtag ohne diese Risiken erreichen. Wir setzen KI dort ein, wo sie trägt — und raten davon ab, wo der Aufwand für saubere Rechtsgrundlagen den Nutzen übersteigt. Siehe dazu unser Vorgehen beim Imagefilm.

Häufige Fragen

Braucht ein KI-generiertes Gesicht, das niemandem ähnelt, eine Einwilligung?

Nein — eine vollständig synthetische Figur ohne Bezug zu einer realen Person ist kein personenbezogenes Datum. Aber „ähnelt niemandem” muss stimmen: Sobald Referenzaufnahmen echter Menschen verwendet wurden oder das Ergebnis erkennbar auf eine Person zuläuft, kippt die Einordnung. Die Kennzeichnungspflicht greift unabhängig davon.

Reicht die alte Foto- und Filmfreigabe aus dem Personalordner für ein KI-Double?

In aller Regel nicht. Eine Einwilligung deckt nur den Zweck ab, über den informiert wurde — wer der Verwendung in einem Imagefilm zugestimmt hat, hat nicht eingewilligt, dass sein Gesicht Grundlage eines generativen Modells wird. Für digitale Doubles brauchst Du eine eigene, schriftliche Einwilligung, im Beschäftigungsverhältnis mit Blick auf die Freiwilligkeit nach § 26 Absatz 2 BDSG.

Was passiert, wenn eine Mitarbeiterin ihre Einwilligung widerruft?

Der Widerruf wirkt für die Zukunft: Ab diesem Zeitpunkt fehlt die Rechtsgrundlage, das Material darf nicht weiter ausgespielt werden. Zusätzlich kann ein Löschanspruch nach Artikel 17 DSGVO bestehen, der auch personenspezifische Modelle und Referenzdateien erfasst. Deshalb: Kampagnen nicht an einer einzelnen Person aufhängen.

Brauche ich einen Auftragsverarbeitungsvertrag mit dem KI-Anbieter?

Sobald der Anbieter personenbezogene Daten weisungsgebunden für Dich verarbeitet: ja, nach Artikel 28 DSGVO. Wichtig ist die Prüfung, ob der Tarif überhaupt AVV-fähig ist — viele Consumer-Varianten sind es nicht. Sitzt der Anbieter in den USA, brauchst Du zusätzlich eine Transfergrundlage.

Muss der KI-Einsatz in die Datenschutzerklärung?

Wenn dabei personenbezogene Daten verarbeitet werden: ja. Aus Artikel 13 und 14 DSGVO folgen Informationspflichten zu Zwecken, Rechtsgrundlagen, Empfängern, Drittlandübermittlungen, Speicherdauer und Betroffenenrechten — Empfänger so konkret wie möglich. „Wir setzen KI-Technologien ein” genügt nicht.

Stand: 3. August 2026. Vor allem der noch offene „Digital Omnibus” zum Datenrecht und die Debatte um den EU-US-Angemessenheitsbeschluss können die Einschätzung verändern. Dieser Beitrag ersetzt keine Rechtsberatung.