DOOH ohne Gesichtserkennung: vier DSGVO-konforme Architekturen für die Zuschauermessung

Ein Verkaufsargument, das schlecht gealtert ist

Den größten Teil des letzten Jahrzehnts war der einfachste Weg, einer digitalen Out-of-Home-Fläche eine Zuschauerzahl zur Seite zu stellen, eine kleine Kamera am Bildschirm. Ein Computer-Vision-Modul detektierte Gesichter im Bild, zählte sie, schätzte Alter und Geschlecht und meldete das Ergebnis als Zuschauerschaft für die jeweils laufende Kreation zurück. Das Argument war sauber. Die Zahl war in Echtzeit. Die Hardware passte auf den Rahmen. Für einen Käufer, der DOOH wie einen digitalen Kanal gemessen haben wollte, sah es nach einer fairen Antwort aus.

Im Jahr 2026 ist dieses Argument schlecht gealtert, und nicht nur, weil sich die Präferenzen beim Datenschutz verschoben haben. Die rechtliche Untergrenze hat sich verschoben. Unter der DSGVO sind Bilder identifizierbarer Personen personenbezogene Daten, und demografische Inferenz aus Gesichtsmerkmalen liegt sehr nah an biometrischen Daten. Unter der EU-KI-Verordnung ist die biometrische Kategorisierung in Echtzeit in öffentlich zugänglichen Räumen eingeschränkt, und demografische Inferenz aus einem Gesicht ist genau die Art von System, mit der sich die Verordnung befasst. Ein Netz aus kamerabasierten Zuschauer-Messgeräten an Bildschirmen in einem Bahnhof, einem Flughafen, einem Einkaufszentrum oder einer Einkaufsstraße ist unter beiden Rahmenwerken schwer zu verteidigen. Mehrere europäische Märkte haben dem effektiv die Tür zugemacht. US-Werbetreibende mit marktübergreifenden Kampagnen legen zunehmend Richtlinien fest, die kamerabasierte demografische Inferenz auch dort nicht akzeptieren können, wo sie lokal noch erlaubt ist.

Die praktische Frage für einen Betreiber, der ein Digital-Signage-Netz führt, oder für einen Werbetreibenden, der eines prüfen will, lautet, was stattdessen einzusetzen ist. Dieser Beitrag legt vier DSGVO-konforme Architekturen für die DOOH-Zuschauermessung vor, die keine Kameras nutzen und keine Gesichter detektieren. Er beschreibt, was jede gut misst, was nicht, und wie sie sich kombinieren lassen. Adressat ist die Person, die Messung spezifiziert oder einkauft, nicht die Person, die die Kreation schreibt.

Was DSGVO-konform hier konkret bedeutet

Bevor wir die Architekturen durchgehen, lohnt sich Präzision bei der Latte. "DSGVO-konform" bedeutet im Kontext der DOOH-Messung drei Dinge, die die EU-KI-Verordnung inzwischen alle verstärkt hat.

• Keine biometrische Erfassung. Das System erfasst keine Bilder, keine Gesichter und kein biometrisches Template, und es behält nichts, mit dem sich eine Person erneut wiedererkennen ließe.
• Keine demografische Erkennung. Das System leitet kein Alter, kein Geschlecht, keine Herkunft und keine andere geschützte Kategorie aus den körperlichen Merkmalen einer Person ab. Genau diesen Teil hat die EU-KI-Verordnung am deutlichsten verschärft.
• Keine personenbezogenen Daten bei der Erfassung. Das System erhebt von vornherein keine personenbezogenen Daten. Es gibt kein Bild zu speichern, kein Gesicht zum Abgleich und keinen Identifikator, der eine Messung mit einer bestimmten Person verknüpft. Das ist eine stärkere Position, als Daten zu erfassen und sie nachträglich zu maskieren, weil von vornherein nichts Identifizierendes erhoben wird.

Eine Architektur, die alle drei Punkte erfüllt, steht unter der DSGVO, unter der EU-KI-Verordnung und unter den Beschaffungsrichtlinien, die europäische Standorte und US-Werbetreibende zunehmend anwenden, sauber da. Die vier Architekturen unten erfüllen alle diese Latte. Sie unterscheiden sich darin, was sie messen und wie unmittelbar sie es messen.

Architektur 1: Signalmuster-Zählung am Bildschirm

Die erste Architektur platziert nahe am Bildschirm einen Sensor, der Personen zählt und Verweildauer aus den Funksignalen misst, die ihre Telefone aussenden. Ein modernes Telefon sendet selbst im Flugmodus Signale aus: Probe Requests, Bluetooth-Advertising-Pakete und andere Low-Level-Übertragungen, die das Gerät als Teil seines Telefonseins erzeugt. Ein Sensor in der Nähe des Bildschirms kann diese Signale erkennen, die Position auf etwa 30 Zentimeter triangulieren und unterschiedliche Geräte in der Reichweitenzone des Bildschirms über die Zeit zählen.

Das Ergebnis ist ein brauchbares Set an Zuschauer-Kennzahlen am Bildschirm: wie viele unterschiedliche Geräte in einem Zeitraum die Zone betraten, wie lange jedes verweilte und wie sich die Verweildauer über den Tag verteilt. Die Gruppengröße stammt aus derselben Signalebene, da ein Cluster gemeinsam bewegter Geräte in der Zone ein anderes Zuschauerereignis ist als ein einzelnes durchgehendes Gerät. Nichts davon erfordert ein Bild der Zuschauer oder irgendeine Wiedererkennung, wer sie sind.

Die Datenschutzhaltung zählt hier. Ein gut implementierter Signalsensor erfasst standardmäßig keine MAC-Adressen. Die rohen Funkmessungen werden zu Zählwerten und Verweilwerten verarbeitet und anschließend verworfen, und es bleibt kein Identifikator zurück, der eine Messung mit einem bestimmten Telefon verknüpfen würde. Identifikatoren werden nur gespeichert, wenn ein Besucher ausdrücklich zustimmt (etwa beim Anmelden im Gäste-WLAN), eine Wahl, die der Betreiber schlicht nicht anbieten muss. Das System sieht Wege, nicht Gesichter, und sieht sie, ohne etwas zu behalten, mit dem dasselbe Telefon nächste Woche erkannt werden könnte.

Wo diese Architektur in den Stack gehört, ist die Verweildauer am Bildschirm. Zu zählen, wie viele Personen die Gelegenheit hatten, einen Bildschirm zu sehen, ist eine Aufgabe, aber zu messen, wie lange sie tatsächlich davor blieben, ist der unmittelbarere Näherungswert für Aufmerksamkeit, und signalbasierte Verweilmessung am Bildschirm ist der sauberste Weg, diesen Wert unter der EU-KI-Verordnung und der DSGVO zu erhalten.

Architektur 2: Türzähler-Pairing für Besucherfrequenz-Kontext

Die zweite Architektur misst gar nicht am Bildschirm. Sie misst an den Ein- und Ausgängen des Standorts und gewichtet anschließend die Zuschauerschaft des Bildschirms mit der Besucherfrequenz des Standorts. Für einen Bildschirm in einem Bahnhof, einem Flughafenterminal, einem Einkaufszentrum oder einem ortsbasierten Netz braucht der Standort für den eigenen Betrieb ohnehin eine Zählung der Besucher an seinen Türen. Dieser Personenzähl-Datenstrom ist ein natürlicher Input für die Zuschauermessung auf Bildschirmebene und braucht keinen Sensor am Bildschirm selbst.

Die technische Methode an der Tür ist Time-of-Flight-Tiefensensorik. Ein deckenmontierter Sensor sendet Infrarotpulse aus, misst, wie lange sie für den Rückweg brauchen, und liest daraus Höhe und Form dessen ab, was auf etwa 30 Zentimeter genau unter ihm hindurchgeht. Er zählt jeden Besucher beim Überschreiten der Schwelle, einschließlich Personen ohne Telefon, und liest Geometrie statt Bilder. Es gibt nichts zu erkennen und kein Bild zu speichern. Für einen belebten Eingang ist die Zählung kontinuierlich, exportierbar und prüfungsfreundlich.

Was das Pairing bringt, ist ein Besucherfrequenz-Kontext, den kein bildschirmmontierter Sensor erzeugen kann. Das Zuschauermodell des Bildschirms lässt sich gegen die tatsächliche Besuchszahl des Standorts kalibrieren: wie viele Personen heute hereinkamen, welcher Anteil davon die Zone passiert, in der der Bildschirm steht, und wie dieser Anteil je nach Daypart variiert. Das ist besonders nützlich für Betreiber, die gegen die Audience-Methodik einer Währungsorganisation berichten, bei der die Per-Face-Impression aus einem Modell errechnet wird, das einen Besuchsinput auf Standortebene benötigt. Die Türzählung ist genau dieser Input, erzeugt unter einem Design ohne personenbezogene Daten.

Türzähler-Pairing für sich genommen misst keine Verweildauer am Bildschirm und sagt nicht, ob Besucher, die am Bildschirm vorbeikamen, tatsächlich stehen blieben. Es ist die Besucherfrequenz-Schicht. Am besten funktioniert es kombiniert mit einer der anderen Architekturen hier.

Architektur 3: geräte-anonymes Verweildauer-Sampling

Die dritte Architektur liegt zwischen den ersten beiden. Sie sampelt Verweildauer am Bildschirm, aber ohne irgendeinen Geräte-Identifikator zu behalten und ohne denselben Besucher über Sitzungen hinweg wiederzuerkennen. Das Ergebnis ist eine Verteilung der Verweilzeiten in der Reichweitenzone des Bildschirms, nicht ein personenbezogener Verlauf.

Es gibt zwei praktische Umsetzungswege. Der erste nimmt die in Architektur 1 beschriebene Signalmuster-Methode und kappt die Speicherung aggressiv: ein Gerät beim Eintreten in die Zone erkennen, messen, wie lange es bleibt, den Verweilwert protokollieren und die Detektion verwerfen, ohne irgendeinen Identifikator oder Hash zu behalten, der zu einer künftigen Detektion führen würde. Der zweite verwendet den Time-of-Flight-Sensor aus Architektur 2 und platziert ihn über der Reichweitenzone des Bildschirms statt an einer Tür, sodass er misst, wie lange Personen vor dem Bildschirm bleiben, indem er ihre Position über die Zeit als Geometrie liest. Keine Variante erzeugt ein Bild, und keine erzeugt einen Geräte-Identifikator, der die Sitzung überdauert.

Was Sie mit dieser Architektur aufgeben, ist die sitzungsübergreifende Kontinuität. Sie können nicht sagen, dass ein Besucher, der den Bildschirm am Montag sah, ihn auch am Donnerstag sah, weil das System gezielt so entworfen ist, das nicht zu wissen. Was bleibt, ist eine Verweildauer-Verteilung, die unter Prüfung und unter der EU-KI-Verordnung standhält, errechnet aus Sampling statt aus Tracking. Für viele DOOH-Use-Cases ist diese Verteilung genau die Kennzahl, die die Kampagne tatsächlich braucht.

Architektur 4: inferierte Zuschauerschaft über Medien-Pairing und Tageszeit

Die vierte Architektur braucht überhaupt keinen Sensor am oder nahe am Bildschirm. Die Zuschauerschaft für einen Play wird aus dem Playout-Log, dem Schedule und den kontextuellen Daten inferiert, die der Betreiber ohnehin über den Standort hat. Ein Bildschirm in einem Bahnhof um 08:15 an einem Werktag hat ein bekanntes Zuschauerprofil (Pendler in der morgendlichen Spitze). Derselbe Bildschirm hat um 22:00 ein anderes Profil. Ein Bildschirm am Eingang zum Food-Court mittags hat wieder ein anderes Profil. Das Pairing des Playout-Logs mit Besuchs- und Verweildaten auf Standortebene, Tageszeitmustern und dem veröffentlichten Zuschauerprofil des Standorts ergibt eine Zuschauerschätzung für jeden Play, ohne jemanden individuell zu messen.

Das ist der Teil der Standardisierungsarbeit, den die OOH-Währungsorganisationen formalisiert haben. Das Zuschauermodell nutzt Inputs wie Besuchsvolumina auf Standortebene, Verweildauer in der Zone, in der der Bildschirm steht, und das demografische und verhaltensbezogene Profil, das für den Standort veröffentlicht ist (oder aus aggregierten, einwilligungsbasierten Quellen errechnet wurde). Die Inputs kombinieren sich zu einer Opportunity-to-See-Zahl pro Play, gewichtet mit der Zuschauerschaft, die diesem Play zugeordnet ist. Der Bildschirm selbst sieht niemanden. Die Inferenz geschieht vorgelagert, aus Daten, die bereits auf einer Basis ohne personenbezogene Daten erhoben wurden.

Die Stärke dieser Architektur ist, dass sie skaliert. Sie funktioniert für Bildschirmnetze, bei denen ein Sensor an jedem Display unpraktikabel ist, und sie liefert eine Impressions-Zahl, die direkt auf die OOH-Währungsmodelle abbildet, gegen die Käufer ohnehin handeln. Die Schwäche ist, dass es eine inferierte Zahl ist, keine gemessene. Die zugrunde liegenden Daten auf Standortebene müssen ehrlich und aktuell sein, und das Kontextmodell muss spezifisch für den Standort sein, nicht eine generische Daypart-Kurve. Isoliert verwendet ist sie eher ein Planungseingang als eine Prüfzahl. Kombiniert mit einer der gemessenen Architekturen oben ist sie die Schicht, die den Rest des Stacks über ein Netz hinweg skalieren lässt.

Wie sich die vier in einem echten Netz kombinieren

Keine dieser Architekturen ist der ganze Stack. Ein ernsthaftes DOOH-Mess-Design nutzt sie in Kombination, wobei jede das tut, was sie gut kann.

• Türzähler-Pairing erzeugt die Besucherfrequenz-Schicht. Sie sagt, wie viele Besucher im Standort sind und wie sie sich auf die Zonen verteilen, was der Input ist, den das Währungsmodell braucht, um Per-Face-Impressions zu gewichten.
• Signalmuster-Zählung am Bildschirm erzeugt die Verweildauer. Sie sagt, wie lange Besucher tatsächlich vor dem Bildschirm bleiben, was der nächste gemessene Näherungswert für Aufmerksamkeit ist, den Sie ohne Kamera erzeugen können.
• Geräte-anonymes Verweildauer-Sampling ist die prüfungsfreundliche Variante dieser Zahl. Wo der Betreiber eine stärkere Aussage zu Speicherung und sitzungsübergreifender Nicht-Verknüpfbarkeit will, ist diese Variante diejenige, die unter der striktesten Lesart der EU-KI-Verordnung und der DSGVO standhält.
• Inferierte Zuschauerschaft über Medien-Pairing erzeugt die Impression pro Play. Sie verwendet die Besucherfrequenz- und Verweildauer-Inputs oben, kombiniert mit dem Playout-Log und dem Zuschauerprofil des Standorts, um die Impressions-Zahl zu erzeugen, gegen die der Buy tatsächlich gehandelt wird.

Die Kombination ergibt einen vollständigen Mess-Stack: einen gemessenen Besucherfrequenz-Input an der Tür, einen gemessenen Verweildauer-Input am Bildschirm, ein prüfungsfreundliches Verweildauer-Sample, wo strengere Speicherung gefordert ist, und eine inferierte Impressions-Zahl, die auf die Art abbildet, wie Käufer DOOH handeln. Alle vier Schichten entstehen unter einem Design ohne personenbezogene Daten.

Was ein Betreiber 2026 nicht mehr akzeptieren sollte

Die vier Architekturen rückwärts gelesen: Es gibt eine klare Reihe von Messmustern, die 2026 aus der sicheren Zone heraus sind, und ein Betreiber oder Käufer sollte sie ohne ein spezifisches Rechtsgutachten nicht akzeptieren.

1. Gesichtsdetektion am Bildschirm. Auch wenn das System behauptet, das Bild nach dem Zählen zu verwerfen, ist die Erfassung selbst das DSGVO-Ereignis. "Wir löschen es hinterher" ist nicht dasselbe wie nicht zu erfassen.
2. Demografische Inferenz aus Gesichtsmerkmalen. Dies ist die zentrale Kategorie, die die EU-KI-Verordnung in öffentlich zugänglichen Räumen einschränkt. Ein Mess-System, das Alter, Geschlecht oder eine andere geschützte Kategorie aus einem Gesicht ableitet, ist schwer zu verteidigen.
3. MAC-Adressen-Speicherung aus WLAN-Probes. Eine ältere Generation der DOOH-Messung schnüffelte WLAN-Probe-Requests und behielt die MAC-Adressen als Geräte-Identifikatoren. Moderne Telefone randomisieren MACs, die DSGVO behandelt persistente Geräte-Identifikatoren als personenbezogene Daten, und die praktische Antwort ist, das System so zu entwerfen, dass es die MAC überhaupt nicht behält.
4. "Anonymisierung" nach der Erfassung. Das Argument, ein Kamera-Feed sei in Ordnung, weil er nachträglich anonymisiert wird, ist strukturell schwächer als den Feed gar nicht erst zu erfassen. Das sauberste Design hat nichts Identifizierendes zu anonymisieren.

Wie Ariadne hineinpasst

Ariadne baut die Architekturen 1 und 2 in eine einzige Sensoreinheit und speist die Daten in die Architekturen 3 und 4 auf der Plattformebene ein. Es wird an keinem Punkt etwas Identifizierendes erfasst.

Ariadne misst dies mit Hybrid Fusion, der patentierten kamerafreien Methode. Time-of-Flight-Tiefensensorik zählt an den Eingängen jeden Besucher und erfasst Geometrie statt Bilder, während die patentierte Signalerfassung die Bewegung im Innenraum verfolgt und die Signale erkennt, die ein Telefon aussendet, selbst im Flugmodus. Der Sensor streamt beide Datenströme an Ariadne, wo Hybrid Fusion sie zu einer Trajektorie pro Besuch zusammenführt und Zählwerte, Verweildauer und Wege berechnet. Die Datenströme tragen keine Identifikatoren: keine MAC-Adresse, keine Geräte-ID, keine biometrischen Daten, und es ist keine Kamera beteiligt. Identifikatoren werden nur gespeichert, wenn ein Besucher ausdrücklich zustimmt, was die Methode datenschutzfreundlich und außerhalb des biometrischen Bereichs hält.

Für einen DOOH-Betreiber bildet sich das direkt auf die vier Architekturen ab. Der Time-of-Flight-Tiefensensor übernimmt die Besucherfrequenz-Schicht an den Türen des Standorts und an den Eingängen zu Zonen, in denen Bildschirme stehen, zählt jeden Besucher und liest Geometrie statt Bilder. Die patentierte Signalerfassung übernimmt die Verweildauer in den Zonen, in denen die Bildschirme stehen, einschließlich der Reichweitenzone des Bildschirms selbst, ohne standardmäßig MAC-Adressen zu erfassen. Die Fusion geschieht zentral in der Ariadne-Plattform, nicht am Sensor, sodass die Zuschauer- und Verweilwerte pro Bildschirm, die der Betreiber berichtet, aus Datenströmen ohne Identifikator entstehen. Das Ergebnis sind die Inputs, die die Standardisierungsorganisationen und Käufer verlangen (Besuche, Verweildauer, Opportunity-to-See am Bildschirm), erzeugt unter einem Design, das unter der DSGVO und der EU-KI-Verordnung standhält. Die Hardware findet sich im Ariadne-Sensorportfolio, das Reporting läuft über Visitor-Marketing-Analytik, und die Datenverarbeitung ist in der Datenschutzerklärung dargelegt.

Eine Käufer-Checkliste für kamerafreie DOOH-Messung

Wenn Sie Messung für einen DOOH-Buy spezifizieren oder prüfen und unter der DSGVO und der EU-KI-Verordnung eine vertretbare Position wollen, sind dies die Fragen, die es lohnt, dem Betreiber und dem Mess-Anbieter schriftlich zu stellen.

1. Steckt irgendwo im Messpfad eine Kamera? Eine saubere Antwort lautet Nein. Wo eine Kamera aus anderen Gründen vorhanden ist (Sicherheit, Warteschlangenmanagement), bestätigen Sie, dass sie nicht in den DOOH-Mess-Stack einspeist.
2. Detektiert oder inferiert das System demografische Kategorien? Unter der EU-KI-Verordnung ist demografische Inferenz aus Gesichtsmerkmalen in öffentlich zugänglichen Räumen der eingeschränkte Fall. Die Antwort sollte Nein lauten.
3. Welche Identifikatoren behält das System? Fragen Sie konkret nach MAC-Adressen, Geräte-IDs und gehashten Identifikatoren, die das System dasselbe Telefon über Sitzungen hinweg wiedererkennen ließen. Ein Design ohne personenbezogene Daten behält keine davon standardmäßig.
4. Woher kommt die Zuschauer-Zahl tatsächlich? Bestätigen Sie, welche der vier oben genannten Architekturen welche Kennzahl liefert: Besucherfrequenz aus einem Türzähler, Verweildauer aus einem Sensor auf Bildschirmebene, Sampling für die prüfungsfreundliche Variante oder Inferenz aus Playout-Log und dem Zuschauerprofil des Standorts.
5. Wie lange werden Rohdaten gespeichert? Das sauberste Design verwirft die Rohdaten des Sensors und behält nur die aggregierten Zählwerte. Bitten Sie um die Speicherrichtlinie schriftlich, nicht nur als Zusammenfassung.
6. Wurde das Design unter der EU-KI-Verordnung geprüft, nicht nur unter der DSGVO? Die beiden Rahmenwerke stellen unterschiedliche Fragen. Ein System, das die DSGVO mangels personenbezogener Daten passiert, kann bei der biometrischen Kategorisierung trotzdem an der KI-Verordnung scheitern.

FAQ

Braucht DOOH-Messung Kameras?

Nein. Ariadne zählt mit Hybrid Fusion: Time-of-Flight-Tiefensensorik plus patentierte Signalerfassung, nie mit Kameras. Time-of-Flight erfasst Geometrie statt Bilder, und die Signalerfassung erfasst standardmäßig keine MAC-Adresse, sodass die Messung ohne Video, ohne Gesichter und ohne biometrische Daten auskommt.

Die vier Architekturen in diesem Beitrag liefern die Zuschauer- und Verweilwerte, die DOOH braucht, ohne Kamera und ohne Gesichtsdetektion an irgendeinem Punkt.

Ist kamerafreie DOOH-Messung standardmäßig DSGVO-konform?

Sie kann es sein, und der Grund ist strukturell: Eine Methode, die standardmäßig weder Bilder noch Gesichter noch Geräte-Identifikatoren erfasst, verarbeitet keine personenbezogenen Daten, sodass die schwersten DSGVO-Pflichten gar nicht erst greifen. Das ist eine stärkere Position als das nachträgliche Maskieren eines Kamera-Feeds, weil von vornherein nichts Identifizierendes erfasst wird. Die EU-KI-Verordnung ergänzt eine zweite Ebene speziell zur biometrischen Kategorisierung; eine Architektur, die keine demografischen Kategorien aus Gesichtsmerkmalen inferiert, steht auch unter dieser Verordnung sauber da. Klären Sie die Details mit Ihrem eigenen Rechtsteam, aber ein Design ohne personenbezogene Daten und ohne biometrische Inferenz ist der einfachste Fall, den Sie ihm vorlegen können.

Was ist mit MAC-Adressen-Tracking aus WLAN-Probes?

Ältere WLAN-basierte DOOH-Messung behielt mitunter MAC-Adressen als Geräte-Identifikatoren. Moderne Telefone randomisieren MAC-Adressen, und die DSGVO behandelt persistente Geräte-Identifikatoren als personenbezogene Daten. Die praktische Antwort für 2026 ist, das System so zu entwerfen, dass es die MAC gar nicht behält: Die in diesem Beitrag beschriebene Signalmuster-Methode zählt Geräte und misst Verweildauer, ohne standardmäßig eine MAC zu speichern. Identifikatoren werden nur gespeichert, wenn ein Besucher ausdrücklich zustimmt.

Kann ein DOOH-Netz demografische Berichte ohne Kamera erzeugen?

Ja, aber auf Standortebene statt auf Gesichtsebene. Demografischer Kontext kommt aus dem Zuschauerprofil des Standorts (derselben Art von Daten, die die OOH-Währungsmodelle speist), kombiniert mit Tageszeitmustern und Besuchsdaten auf Standortebene. Das ergibt eine Zuschauerschätzung pro Play, ohne Demografie aus dem Gesicht eines einzelnen Besuchers zu inferieren. Per-Face-demografische Inferenz ist genau das, was die EU-KI-Verordnung einschränkt, also hält der Ansatz auf Standortebene stand.