So lässt sich eine DSGVO-konforme 360 Tour erstellen

Wer eine DSGVO-konforme 360 Tour erstellen möchte, muss Datenschutz vor dem ersten Foto mitdenken. Denn in einer digitalen Raumpräsentation können weit mehr personenbezogene Daten stecken als erwartet: erkennbare Personen, Namensschilder, Fahrzeugkennzeichen, Monitore mit Kundendaten oder eingebundene Tracking-Tools. Ein späteres Unkenntlichmachen ist möglich, aber oft teurer und fehleranfälliger als eine sauber geplante Produktion.

Für Immobilien, Ferienunterkünfte, Gewerbeobjekte, Kulturorte oder Bildungsstätten ist der Aufwand dennoch gut beherrschbar. Entscheidend ist, Aufnahme, Plattform, Einbettung und Auswertung als zusammenhängenden Prozess zu behandeln. Datenschutz ist dabei kein visueller Nachteil. Im besten Fall sorgt er für eine aufgeräumte, vertrauenswürdige Tour, die Interessenten Orientierung gibt, ohne unnötige Daten preiszugeben.

Wann wird eine 360-Tour datenschutzrelevant?

Die DSGVO greift, sobald Informationen einer identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können. Das betrifft nicht nur gut erkennbare Gesichter. Auch eine Wohnungsnummer zusammen mit einem eindeutig zuordenbaren Briefkasten, ein Mitarbeiterausweis, ein Kalender auf dem Schreibtisch oder ein Bildschirm mit E-Mails können relevant sein.

Bei leer stehenden Musterwohnungen oder professionell vorbereiteten Gewerbeflächen ist das Risiko meist geringer. In bewohnten Wohnungen, laufenden Betrieben, Hotels oder Schulen steigt es deutlich. Dort kommen zusätzlich Persönlichkeitsrechte, das Hausrecht und gegebenenfalls arbeitsrechtliche Anforderungen hinzu. Eine Einwilligung einzelner Personen kann sinnvoll sein, ist aber nicht in jedem Szenario die tragfähigste Grundlage. Welche Rechtsgrundlage passt, hängt vom Einzelfall, dem Zweck der Veröffentlichung und den Interessen der betroffenen Personen ab.

Wichtig ist die Abgrenzung: Die DSGVO regelt personenbezogene Daten, nicht den Schutz jeder räumlichen Information. Trotzdem sollte ein Unternehmen auch sensible Geschäftsdetails entfernen. Sicherheitsanlagen, Zugangscodes, Schlüsselpositionen, Produktionsunterlagen oder vertrauliche Pläne gehören normalerweise nicht in eine öffentlich erreichbare Tour.

DSGVO-konforme 360 Tour erstellen: Datenschutz beginnt im Briefing

Der produktive Zeitpunkt für Datenschutzfragen ist das Projektbriefing. Legen Sie dort fest, welche Räume gezeigt werden, wer zum Aufnahmetermin Zugang hat, auf welcher Plattform die Tour läuft und ob sie öffentlich, nur per Direktlink oder in einem geschützten Bereich verfügbar sein soll. Ein Direktlink ist keine echte Zugangskontrolle, weil er weitergegeben werden kann. Für vertrauliche Objekte sind Passwortschutz, Nutzerkonten oder eine individuelle Freigabelogik oft die passendere Lösung.

Bereiten Sie die Räume gezielt vor. Persönliche Fotos, Post, Medikamentenpackungen, Kennzeichen, Zugangskarten, Kundendokumente und offene Bildschirme sollten entfernt oder verdeckt werden. Bei bewohnten Immobilien schützt diese Vorbereitung nicht nur Daten, sondern verbessert auch die Bildwirkung. Interessenten konzentrieren sich auf Lage, Zuschnitt, Ausstattung und Orientierung statt auf private Gegenstände.

Planen Sie die Aufnahme außerhalb stark frequentierter Zeiten. Bei einem Restaurant kann das vor der Öffnung sein, in einem Büro am Wochenende und in einer Bildungseinrichtung in einer unterrichtsfreien Phase. Lassen sich Personen nicht vermeiden, sollten sie möglichst nicht erkennbar abgebildet werden. Eine technische Unkenntlichmachung von Gesichtern und Kennzeichen ist hilfreich, ersetzt aber keine Qualitätskontrolle: Automatische Verfahren übersehen gelegentlich Details oder erfassen Dinge, die gar nicht unkenntlich sein müssen.

Hosting und Auftragsverarbeitung prüfen

Eine Tour besteht nicht nur aus Panoramabildern. Je nach technischer Lösung werden Bilddaten verarbeitet, auf Servern gespeichert, über Content-Delivery-Netzwerke ausgeliefert und mit Nutzungsdaten verknüpft. Deshalb gehört die Auswahl der Tour-Plattform in die Datenschutzprüfung.

Arbeitet ein Dienstleister im Auftrag und verarbeitet dabei personenbezogene Daten für Ihr Unternehmen, ist in vielen Fällen ein Vertrag zur Auftragsverarbeitung erforderlich. Darin sollten insbesondere Weisungsbindung, technische und organisatorische Maßnahmen, Unterauftragnehmer, Löschprozesse und Unterstützung bei Betroffenenanfragen geregelt sein. Ob eine Auftragsverarbeitung vorliegt, richtet sich nach der tatsächlichen Rollenverteilung - nicht allein nach der Bezeichnung eines Vertrags.

Prüfen Sie außerdem, wo die Daten verarbeitet werden und welche weiteren Unternehmen beteiligt sind. Serverstandort allein genügt nicht als Bewertungskriterium. Relevant sind auch Supportzugriffe, Analyse-Dienste, eingebundene Schriftarten, Kartenmaterial, Video-Module und mögliche Übermittlungen in Drittländer. Für Unternehmen im DACH-Raum kann zusätzlich nationales Datenschutzrecht eine Rolle spielen. In der Schweiz gilt neben vertraglichen und organisatorischen Fragen insbesondere das revidierte Datenschutzgesetz.

Eine gute Dokumentation beantwortet für jede Tour dieselben Fragen: Welche Daten fallen an? Zu welchem Zweck? Wer erhält Zugriff? Wie lange bleiben sie gespeichert? Und wie werden sie gelöscht oder angepasst, wenn sich ein Objekt verändert?

Einbettung auf der Website ohne Datenleck

Viele Touren werden über einen Einbettungscode auf der eigenen Website angezeigt. Genau hier entstehen häufig vermeidbare Risiken. Lädt der eingebettete Viewer bereits beim Seitenaufruf Daten an einen externen Plattformanbieter, können etwa IP-Adresse, Browserinformationen oder technische Kennungen übertragen werden - selbst wenn Besucher die Tour noch nicht aktiv gestartet haben.

Datensparsam ist eine Zwei-Stufen-Lösung: Zunächst erscheint ein Platzhalter mit einer verständlichen Information zur externen Tour. Erst nach einer bewussten Aktivierung wird der Viewer geladen. Ob und wie eine Einwilligung erforderlich ist, hängt von den eingesetzten Technologien und der rechtlichen Bewertung ab. Diese sollte mit der Datenschutzkonfiguration der gesamten Website abgestimmt sein.

Besondere Aufmerksamkeit verdienen Analysefunktionen. Kennzahlen wie Aufrufe, Verweildauer, Klicks auf Hotspots oder Abbruchpunkte können für Vertrieb und Optimierung wertvoll sein. Werden dabei Cookies, Gerätekennungen oder vergleichbare Technologien eingesetzt, braucht es ein passendes Konzept für Information, Einwilligung und Nachweisbarkeit. Für viele Projekte reichen aggregierte, datensparsame Statistiken aus. Wer keine personenbezogenen Profile benötigt, sollte sie auch nicht erzeugen.

Informationspflichten verständlich erfüllen

Die Datenschutzerklärung muss die Verarbeitung rund um die Tour nachvollziehbar abbilden. Allgemeine Formulierungen reichen nicht, wenn über eine Tour zusätzliche Dienste, externe Empfänger oder Tracking-Technologien eingebunden werden. Beschreiben Sie Zweck, Datenkategorien, Rechtsgrundlage, Empfänger, Speicherdauer sowie Rechte der betroffenen Personen in einer Sprache, die auch Nichtjuristen verstehen.

Direkt am Platzhalter oder beim Start der Tour sollte eine kurze Information stehen, wenn Daten an einen externen Anbieter übertragen werden. Die ausführliche Erklärung gehört in die Datenschutzerklärung. Diese Kombination ist nutzerfreundlicher als ein langer Hinweis im Viewer und verhindert, dass relevante Informationen erst nach mehreren Klicks sichtbar werden.

Auch interne Zuständigkeiten sollten eindeutig sein. Marketing verantwortet häufig Inhalt und Nutzung, IT die technische Einbindung, Datenschutz oder externe Beratung die Prüfung. Ohne klaren Freigabeprozess wird eine Tour schnell publiziert, obwohl Tracking, Löschfristen oder veraltete Raumaufnahmen noch ungeklärt sind.

Praktische Freigabe vor der Veröffentlichung

Vor dem Go-live lohnt sich ein fester Kontrolltermin. Prüfen Sie nicht nur das Startpanorama, sondern jeden Blickwinkel, jeden Hotspot und jede eingebundene Datei. Bei einer Tour mit mehreren Etagen oder Räumen werden Details leicht übersehen.

Für die finale Freigabe sollten mindestens diese Punkte dokumentiert sein:

• In allen Panoramen sind keine Personen, Kennzeichen, Bildschirme, Dokumente oder privaten Gegenstände unnötig erkennbar.
• Der gewählte Veröffentlichungsumfang passt zum Objekt: öffentlich, nur per Link oder zugangsgeschützt.
• Rollen, Verträge und Speicherorte der beteiligten Dienstleister sind geprüft und festgehalten.
• Die Website-Einbettung lädt externe Inhalte und Tracking nur entsprechend der gewählten Datenschutzkonfiguration.
• Datenschutzhinweise, Löschfristen und ein Prozess für Korrektur- oder Löschanfragen sind vorhanden.

Diese Kontrolle sollte bei Änderungen wiederholt werden. Zieht ein Mieter aus, wird eine Fläche neu eingerichtet oder verändert sich der Plattformvertrag, kann die ursprüngliche Bewertung überholt sein. Eine Tour ist kein statisches PDF, sondern ein digitales Vertriebsmittel mit laufendem Pflegebedarf.

Datenschutz als Qualitätsmerkmal der Raumvermarktung

Eine sorgfältig produzierte Tour zeigt genau das, was für eine Entscheidung relevant ist: Raumwirkung, Wegeführung, Ausstattung und Nutzungsmöglichkeiten. Sie muss weder private Lebensdetails noch interne Betriebsabläufe offenlegen, um überzeugend zu sein. Im Gegenteil: Eine klare Bildsprache, gut platzierte Informationspunkte und ein kontrollierter Zugang stärken die professionelle Wahrnehmung des Angebots.

Rechtliche Sonderfälle - etwa bewohnte Mietobjekte, Gesundheitsdaten im Bild, Mitarbeiterbereiche oder internationale Verarbeitungsketten - sollten vor Veröffentlichung individuell geprüft werden. Wer Datenschutz als festen Produktionsschritt etabliert, schafft aber eine verlässliche Grundlage für Touren, die langfristig nutzbar bleiben und Besuchern mit der gleichen Sorgfalt begegnen wie potenziellen Kunden vor Ort.