KI im Kosmetikstudio und in der Praxis: was gilt, was Sie zeigen dürfen

Im Studio greifen mehrere Regeln gleichzeitig, und die EU-KI-Verordnung (EU AI Act) ist nicht die schärfste. Eine Hautanalyse verarbeitet Gesundheitsdaten und braucht eine ausdrückliche Einwilligung. Für Vorher-Nachher-Bilder von Unterspritzungen gilt sogar ein Werbeverbot — unabhängig von jeder Kennzeichnung. Wer nur kennzeichnet, hält ein Problem für gelöst, das er noch nicht angefasst hat.

Von Patrick de Kathen, Gründer von KlarComply · Fachlich geprüft am 26. August 2026

Die drei Dinge, die im Studio wirklich greifen

Kosmetikstudios, Praxen für ästhetische Behandlungen und Friseursalons setzen KI längst ein — meist ohne es so zu nennen. Drei Anwendungen sind rechtlich relevant, und sie unterliegen unterschiedlichen Vorschriften.

Die Spalte nennt die gesetzlichen Höchstrahmen. Für ein Studio realistisch ist etwas anderes: Eine einzige unzufriedene Kundin kann sich kostenlos bei der Datenschutzbehörde beschweren — und dann müssen Sie die Einwilligung vorzeigen können. Bei der KI-Verordnung gilt für kleine Betriebe ohnehin der jeweils niedrigere Betrag.

Für kleine und mittlere Unternehmen gilt bei der KI-Verordnung jeweils der niedrigere der beiden Werte (Art. 99 Abs. 6). Bei der DSGVO gilt der höhere.

Die Hautanalyse ist der ernste Fall

Wer ein Gesichtsfoto in eine Hautanalyse gibt, erzeugt einen Befund: Pigmentflecken, Rötungen, Feuchtigkeit, Faltentiefe. Dieser Befund sagt etwas über den Gesundheitszustand einer Person aus — und ist damit ein Gesundheitsdatum im Sinne von Artikel 4 Nummer 15 DSGVO. Gesundheitsdaten gehören zu den besonderen Kategorien nach Artikel 9 Absatz 1.

Was das praktisch bedeutet: Die Verarbeitung ist grundsätzlich verboten. Erlaubt wird sie erst durch einen Ausnahmetatbestand — im Studio praktisch immer die ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a. „Ausdrücklich“ heißt: nicht im Kleingedruckten, nicht als Häkchen bei den AGB, sondern als eigene, verständliche Erklärung, die die Kundin bewusst abgibt.

Und der Anbieter der App?

Die App verarbeitet die Daten in Ihrem Auftrag. Dafür brauchen Sie einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Seriöse Anbieter halten ihn bereit und nennen ihren Serverstandort; wer auf die Frage nicht antwortet, ist die Antwort.

Drei Fragen an jeden Anbieter, bevor Sie ihn einsetzen:

• Wo stehen die Server, und gibt es einen Auftragsverarbeitungsvertrag?
• Werden die Bilder zum Trainieren des Modells verwendet — und lässt sich das abschalten?
• Wie lange werden sie gespeichert, und wie löscht man sie?

Vorher-Nachher-Bilder: drei Fragen, und die Kennzeichnung ist die letzte

Frage 1: Dürfen Sie das Bild überhaupt zeigen?

Bei bestimmten Behandlungen lautet die Antwort nein — unabhängig von jeder Einwilligung und jeder Kennzeichnung. § 11 Absatz 1 Satz 3 Nummer 1 des Heilmittelwerbegesetzes verbietet vergleichende Vorher-Nachher-Darstellungen in der Werbung für operative plastisch-chirurgische Eingriffe ohne medizinische Notwendigkeit.

Der Bundesgerichtshof legt „operativ“ dabei weit aus: Erfasst ist jeder instrumentelle Eingriff mit Form- oder Gestaltveränderung, unabhängig von der Invasivität. Unterspritzungen mit Fillern gehören ausdrücklich dazu (BGH I ZR 159/23 vom 29. Mai 2024, bestätigt am 31. Juli 2025).

Im Zweifel gilt der Maßstab des BGH: Wird mit einem Instrument in den Körper eingegriffen und dabei Form oder Gestalt verändert? Dann ist es ein operativer Eingriff im Sinne des Gesetzes — auch wenn es sich für Sie nicht so anfühlt.

Frage 2: Haben Sie die Einwilligung — zur Veröffentlichung?

Das ist nicht dieselbe Einwilligung wie die zur Hautanalyse. Ein Behandlungsfoto zeigt den Gesundheitszustand einer bestimmten Person; es öffentlich zu zeigen, ist eine eigene Verarbeitung besonderer Kategorien und braucht eine eigene ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a DSGVO. Dazu kommt das Recht am eigenen Bild: Nach § 22 Kunsturhebergesetz dürfen Bildnisse nur mit Einwilligung verbreitet werden.

Drei Dinge, die dabei regelmäßig schiefgehen:

• Die Einwilligung ist jederzeit widerrufbar (Art. 7 Abs. 3 DSGVO). Widerruft die Kundin, muss das Bild herunter — auch aus Instagram, auch nach zwei Jahren.
• Sie muss konkret sein. „Wo darf es erscheinen, wie lange, in welchem Zusammenhang?“ Eine Blankoerlaubnis trägt nicht.
• Unkenntlich ist nicht anonym. Ein Balken über den Augen genügt nicht, wenn Muttermal, Tattoo oder Umgebung die Person erkennbar machen.

Frage 3: War KI im Spiel? Dann kennzeichnen

Erst jetzt kommt Artikel 50 der KI-Verordnung, der seit dem 2. August 2026 gilt: Wer Bild-, Ton- oder Videoinhalte mit KI erzeugt oder verändert, muss das erkennbar machen. Betroffen sind Ergebnissimulationen, KI-gestützte Retusche und vollständig generierte Motive — nicht die gewöhnliche Aufnahme mit gutem Licht.

Der Terminbot muss sich zu erkennen geben

Antwortet auf Ihrer Website oder in Ihren Direktnachrichten ein Bot, muss die Kundin erkennen können, dass sie mit einer Maschine spricht — es sei denn, es ist aus dem Zusammenhang offensichtlich. Eine Zeile genügt: „Sie schreiben mit einem automatischen Assistenten. Für ein persönliches Gespräch rufen Sie uns an.“

Wenn Sie Ärztin oder Arzt sind: dann gilt Strafrecht

Für dermatologische Praxen und ärztlich geführte Häuser gilt alles Bisherige — und darüber hinaus etwas, das eine ganz andere Größenordnung hat.

Praktisch heißt das: Ein Hautbild oder ein Befund, der in ein allgemeines KI-Werkzeug eingegeben wird, kann den Tatbestand erfüllen — auch wenn das Ergebnis nie die Praxis verlässt.

Der Weg, der zulässig ist

Seit der Reform von 2017 erlauben § 203 Absatz 3 und 4 StGB ausdrücklich die Einbeziehung sonstiger mitwirkender Personen — also auch von IT- und KI-Dienstleistern. Daran hängen aber Bedingungen:

• Der Dienstleister muss vertraglich zur Verschwiegenheit verpflichtet werden. Ein Auftragsverarbeitungsvertrag genügt dafür nicht: Der regelt Datenschutz, nicht Strafrecht. Beides wird gebraucht.
• Der Zugriff darf nur so weit reichen, wie es unerlässlich ist.
• Die Technik muss dem Stand der Technik entsprechen, damit Unbefugte — einschließlich der Beschäftigten des Anbieters — nicht zugreifen können.
• Wer verpflichtet wurde, macht sich bei einem Verstoß selbst strafbar. Das ist der Sinn der Vorschrift und zugleich Ihr Prüfstein: Ein Anbieter, der diese Verpflichtung nicht unterschreiben will, sagt Ihnen damit etwas.

Die zweite Möglichkeit ist die Einwilligung des Patienten. Sie macht die Offenbarung befugt — muss dafür aber informiert sein und benennen, wer die Daten bekommt. Eine pauschale Zustimmung im Anamnesebogen trägt das nicht.

Und wenn die KI eine Einschätzung abgibt?

Sobald ein System nicht nur beschreibt, sondern bewertet — „dieses Muttermal ist auffällig“ —, stellt sich die Frage, ob es ein Medizinprodukt ist. Dann gelten die Medizinprodukteverordnung und eine CE-Kennzeichnung, und die KI-Verordnung stuft solche Systeme über Anhang I ein. Diese Pflichten wurden auf den 2. August 2028 verschoben, die medizinprodukterechtlichen nicht. Lassen Sie sich vom Hersteller schriftlich sagen, ob sein System als Medizinprodukt in Verkehr gebracht wird — die Antwort entscheidet über sehr viel.

Und die Schulung?

Artikel 4 verpflichtet Sie seit dem 2. Februar 2025, die KI-Kompetenz Ihrer Mitarbeitenden mit Maßnahmen zu fördern — seit dem Digital Omnibus eine Bemühens-, keine Ergebnispflicht. Eine Mitarbeiterschwelle gibt es nicht: Die Pflicht trifft das Studio mit drei Angestellten genauso wie die Kette.

Ehrlich dazu: Für Artikel 4 allein gibt es kein eigenes Bußgeld. Artikel 99 Absatz 4 zählt die sanktionierten Pflichten abschließend auf, und Artikel 4 steht dort nicht. Wer Ihnen etwas anderes erzählt, verkauft mit der Angst.

Warum es trotzdem zählt: Wenn etwas schiefgeht — ein Bild ohne Kennzeichnung, eine Analyse ohne Einwilligung —, ist die erste Frage immer dieselbe: Wusste Ihr Personal, was es tut? Ein Schulungsnachweis mit Datum beantwortet sie. Nichts sonst tut das.

Ein Fahrplan, der an einem Nachmittag zu schaffen ist

1. Aufschreiben, was Sie einsetzen. Hautanalyse, Bildbearbeitung, Terminbot, Textwerkzeuge für Social Media. Meist sind es mehr als gedacht.
2. Einwilligung trennen. Eine eigene Erklärung für die Hautanalyse, mit Anbieter und Speicherdauer.
3. Auftragsverarbeitungsvertrag anfordern — bei jedem Anbieter, der Kundendaten sieht.
4. Kennzeichnung festlegen. Ein Satz, den alle im Team gleich verwenden.
5. Team schulen und den Nachweis aufheben. Mit Datum, sonst zählt er nicht.

Häufige Fragen

Ist eine KI-Hautanalyse überhaupt erlaubt?

Ja, mit ausdrücklicher Einwilligung nach Artikel 9 Absatz 2 Buchstabe a DSGVO. Ohne diese Einwilligung ist die Verarbeitung verboten, weil ein Hautbefund ein Gesundheitsdatum ist und damit zu den besonderen Kategorien gehört.

Reicht die Einwilligung, die die Kundin bei der Anmeldung unterschreibt?

In aller Regel nicht. Die Einwilligung zur Behandlung und die zur KI-gestützten Hautanalyse sind zwei verschiedene Vorgänge. Die zweite muss die Analyse, den Anbieter und den Verbleib der Bilder ausdrücklich benennen.

Sind Gesichtsfotos biometrische Daten?

Nicht automatisch. Nach Erwägungsgrund 51 der DSGVO wird ein Foto erst dann zum biometrischen Datum, wenn eine spezifische technische Verarbeitung die eindeutige Identifizierung einer Person ermöglicht. Eine Hautanalyse identifiziert nicht, sie befundet — entscheidend ist deshalb die Einordnung als Gesundheitsdatum.

Muss ich jedes bearbeitete Foto kennzeichnen?

Kennzeichnungspflichtig ist, was mit KI erzeugt oder verändert wurde — etwa eine Ergebnissimulation oder eine KI-gestützte Retusche. Eine gewöhnliche Aufnahme mit gutem Licht und ohne KI-Werkzeug fällt nicht darunter. Wichtig: Die Kennzeichnung erlaubt nichts, was sonst verboten wäre.

Darf ich Vorher-Nachher-Bilder von Hyaluron- oder Botox-Behandlungen zeigen, wenn ich sie kennzeichne?

Nein. Für operative plastisch-chirurgische Eingriffe ohne medizinische Notwendigkeit gilt ein absolutes Werbeverbot für vergleichende Vorher-Nachher-Darstellungen (§ 11 Abs. 1 S. 3 Nr. 1 HWG). Der Bundesgerichtshof hat entschieden, dass Unterspritzungen mit Fillern darunter fallen — jeder instrumentelle Eingriff mit Form- oder Gestaltveränderung zählt. Eine Kennzeichnung ändert daran nichts.

Die Kundin hat doch zugestimmt — reicht das nicht?

Für das Werbeverbot nicht: Es schützt nicht die abgebildete Person, sondern soll niemanden zu medizinisch unnötigen Eingriffen verleiten. Die Einwilligung der Kundin kann es deshalb nicht aufheben. Wo Bilder erlaubt sind, ist ihre Einwilligung dagegen zwingend — und zwar eine eigene für die Veröffentlichung, die sie jederzeit widerrufen kann.

Was kostet es, wenn ich nichts tue?

Bei der DSGVO bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist. Bei der KI-Verordnung bis zu 15 Millionen oder 3 Prozent — für kleine und mittlere Unternehmen gilt dort der niedrigere Wert. Realistischer als die Behörde ist allerdings die Abmahnung durch einen Wettbewerber.

Ich bin Dermatologin. Darf ich ein Hautbild in ein KI-Werkzeug hochladen?

Nur unter Bedingungen. Nach § 203 Abs. 1 StGB ist das unbefugte Offenbaren eines Patientengeheimnisses strafbar — mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Der Tatbestand kann nach herrschender Auffassung bereits erfüllt sein, wenn Beschäftigte des Anbieters auf die Daten zugreifen könnten — unabhängig davon, ob es jemand tut. Zulässig wird es durch eine Verpflichtung des Anbieters zur Verschwiegenheit nach § 203 Abs. 3 und 4 StGB oder durch eine informierte Einwilligung der Patientin.

Reicht ein Auftragsverarbeitungsvertrag mit dem KI-Anbieter?

Für den Datenschutz ja, für die Schweigepflicht nicht. Ein AVV regelt Artikel 28 DSGVO; § 203 StGB verlangt zusätzlich eine ausdrückliche Verpflichtung zur Verschwiegenheit. Fragen Sie den Anbieter genau danach — nicht nach dem AVV, den hat jeder.

Brauche ich dafür einen Anwalt?

Für den Regelfall nicht. Inventar, Einwilligungstext, Kennzeichnung und Schulungsnachweis lassen sich mit Vorlagen erledigen. Ein Anwalt lohnt sich, wenn Sie mit Gesundheitsdaten über die Hautanalyse hinaus arbeiten oder wenn bereits eine Abmahnung vorliegt.