KI-Bewerbungsfoto und Datenschutz: Wohin gehen deine Fotos?

Wenn du 10 Selfies bei einem KI-Anbieter hochlädst, gibst du nicht ein paar Bilder weg, sondern die maschinell auswertbare Vorlage deines Gesichts. Wohin diese Bilder gehen, wie lange sie liegen und ob damit Modelle für andere trainiert werden, unterscheidet sich zwischen Anbietern erheblich – und steht in den meisten Fällen nicht auf der Landingpage, sondern in der Datenschutzerklärung und im Impressum.

Dieser Text gibt dir fünf Fragen, mit denen du jeden Anbieter in wenigen Minuten prüfen kannst. Am Ende beantworten wir sie für Fotoklar selbst, damit du siehst, wie die Antworten in der Praxis aussehen.

Warum dein Gesicht rechtlich eine andere Kategorie ist

Ein normales Foto ist ein personenbezogenes Datum wie deine Adresse. Sobald ein Bild aber mit technischen Verfahren so verarbeitet wird, dass es zur eindeutigen Identifizierung einer Person dient, wird es nach Art. 4 Nr. 14 DSGVO zu einem biometrischen Datum – und biometrische Daten zu diesem Zweck fallen unter Art. 9 DSGVO, die Kategorie besonders sensibler Daten. Dort gilt ein grundsätzliches Verarbeitungsverbot mit Ausnahmen, und die praktisch relevante Ausnahme ist deine ausdrückliche Einwilligung.

Ein KI-Porträtdienst arbeitet genau an dieser Grenze: Er extrahiert aus deinen Selfies die Merkmale, die dein Gesicht von allen anderen unterscheiden, und speichert sie als Modell. Ob man das im Einzelfall als Art.-9-Verarbeitung einordnet oder nicht, ist eine juristische Feinfrage – für deine Kaufentscheidung reicht die praktische Konsequenz: Das ist kein Newsletter-Abo. Ein Datensatz, mit dem sich beliebige Bilder deines Gesichts erzeugen lassen, ist etwas, dessen Aufenthaltsort du wissen solltest.

Und ganz nüchtern: Diese Fragen stellt du beim Studiofotografen genauso selten. Auch dort liegen deine Rohdateien irgendwo auf einer Festplatte. Der Unterschied ist die Skalierbarkeit – ein Gesichtsmodell ist automatisiert weiterverwendbar, ein RAW-Ordner nicht.

Die fünf Fragen

1. Wo stehen die Server – EU oder USA?

Das ist die Frage mit der größten Hebelwirkung, weil sie darüber entscheidet, welches Rechtssystem im Konfliktfall zuständig ist. Bei einer Verarbeitung innerhalb der EU gelten DSGVO und die Zuständigkeit europäischer Aufsichtsbehörden unmittelbar. Bei Übermittlungen in die USA brauchst du eine Rechtsgrundlage nach Kapitel V DSGVO; seit 2023 stützen sich viele Anbieter auf das EU-US Data Privacy Framework.

Wichtig ist die Formulierung, die du suchst. „EU-Serverstandort" bezieht sich häufig nur auf einen Teil der Kette – etwa das Web-Frontend oder die Datenbank – während die eigentliche GPU-Berechnung bei einem Sub-Dienstleister außerhalb der EU läuft. Aussagekräftig ist erst, wenn ein Anbieter benennt, wo trainiert und generiert wird, nicht nur, wo die Website liegt.

2. Werden meine Bilder zum Training genutzt – und für wen?

Hier gibt es drei sehr verschiedene Modelle, die in der Werbung gerne gleich klingen:

• Nur dein eigenes Modell. Aus deinen Selfies entsteht ein privates Modell, das ausschließlich deine Bilder erzeugt und danach gelöscht wird.
• Verbesserung des Basismodells. Deine Bilder fließen in das allgemeine Modell des Anbieters ein und wirken damit an Ergebnissen für andere Kunden mit.
• Weitergabe an Dritte. Die Bilder landen bei einem externen Modellanbieter, dessen Nutzungsbedingungen dann zusätzlich gelten.

Suche in der Datenschutzerklärung nach den Worten „Training", „Modellverbesserung", „Weiterentwicklung unserer Dienste". Der letzte Ausdruck ist der unschärfste und deshalb der wichtigste zum Nachfragen.

3. Wie lange werden die Daten gespeichert – und kann ich selbst löschen?

Eine gute Antwort ist konkret und in Tagen bemessen. Eine schlechte lautet „solange es für die Erbringung der Leistung erforderlich ist", denn dieser Satz erlaubt praktisch jede Dauer.

Art. 17 DSGVO gibt dir ohnehin ein Recht auf Löschung und Art. 15 ein Recht auf Auskunft. Der Unterschied im Alltag ist aber gewaltig: Ein Löschknopf in der Galerie wirkt sofort, eine Löschanfrage per E-Mail bedeutet Wartezeit, Nachfassen und Vertrauen darauf, dass jemand sie bearbeitet. Prüfe also nicht nur die Frist, sondern auch, wer sie auslösen kann.

4. Steht im Impressum eine benannte juristische Person – und gibt es einen AVV?

Das Impressum ist der billigste Seriositätstest, den es gibt, weil es zwei Minuten dauert. Du suchst: vollständiger Firmenname mit Rechtsform, Sitz, Registernummer, Umsatzsteuer-ID, benannte vertretungsberechtigte Person, erreichbare Kontaktadresse. Fehlt davon die Hälfte, weißt du im Streitfall nicht, gegen wen du deine DSGVO-Rechte richten sollst.

Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist für dich als Privatperson nicht nötig – du bist selbst der Verantwortliche für deine Daten. Relevant wird der AVV, wenn ein Unternehmen Porträts für Mitarbeitende bestellt: Dann verarbeitet der Anbieter fremde Beschäftigtendaten im Auftrag, und ohne AVV fehlt die Grundlage. Wenn du für ein Team bestellst, frage danach, bevor du HR-Fotos hochladen lässt.

5. Unterliegt der Anbieter dem US CLOUD Act?

Der CLOUD Act verpflichtet US-Unternehmen, auf Anordnung US-amerikanischer Behörden Daten herauszugeben – auch dann, wenn diese Daten auf Servern außerhalb der USA liegen. Entscheidend ist deshalb nicht nur der Serverstandort, sondern die Konzernzugehörigkeit des Anbieters und seiner Dienstleister. Ein Anbieter mit EU-Rechenzentrum, der zu einer US-Muttergesellschaft gehört, ist datenschutzrechtlich eine andere Situation als ein europäisches Unternehmen mit europäischen Dienstleistern.

Für ein Bewerbungsfoto ist das kein Drama-Szenario, sondern eine Einordnung: Je nach Beruf – öffentlicher Dienst, Sicherheitsbereich, Forschung, Journalismus – kann es dir wichtiger sein als anderen.

Was ein Blick in den Markt zeigt

Wenn man diese Fragen auf die Angebote anwendet, die im deutschsprachigen Raum sichtbar sind, ergibt sich ein gemischtes Bild. Alle Angaben Stand Juli 2026, direkt von den jeweiligen Seiten – Preise und Angaben ändern sich, prüfe im Zweifel selbst nach.

Die international bekannten Anbieter – Aragon.ai, HeadshotPro, BetterPic, Secta, Dreamwave, ProPhotos – sind US-Unternehmen, rechnen in US-Dollar ab und haben keine deutschsprachige Seite. Dreamwave gibt auf der eigenen Seite ausdrücklich an, dass die Daten die USA nicht verlassen. Das ist als Aussage transparent; es bedeutet nur eben, dass die Verarbeitung vollständig außerhalb des EU-Rechtsraums stattfindet.

Bei den deutschsprachigen Anbietern lohnt der Blick ins Impressum. bewerbungsbild24.de bewirbt sich mit „Made with ❤️ in Deutschland" und einem „EU-Serverstandort". Im Impressum ist als Betreiber MAKER BAY PTE. LTD., 10 Anson Road, Singapur, benannt – ohne deutsche Umsatzsteuer-Identifikationsnummer, ohne Registernummer und ohne genannte Geschäftsführung. Beide Angaben stehen so auf der Seite; welche Schlüsse du daraus ziehst, entscheidest du selbst.

Bei Profile Bakery wird eine Schweizer bzw. EU-Serverinfrastruktur angegeben, der Betreiber ist auf der Seite nicht offengelegt. Bei MeinBewerbungsfoto.de ist der Betreiber ebenfalls nicht offengelegt. Headyshot nennt eine Stetic GmbH, Dr. Headshot beschreibt sich als „Made in Europe", und Profilfoto-KI.de nennt einen namentlichen Betreiber mit Sitz in Schwerte. Das ist keine Wertung der Dienste, sondern schlicht der Unterschied zwischen einer prüfbaren und einer nicht prüfbaren Angabe.

Wenn du die fünf Fragen für dich schon geklärt hast: Bei Fotoklar lädst du 8 bis 15 Selfies hoch, wählst den Preis erst danach und hast nach rund zwei Stunden 40 bis 200 Bilder in einer privaten Galerie. Verarbeitung in der EU, Löschung automatisch oder sofort per Button. Zum Upload

Die fünf Fragen für Fotoklar, offen beantwortet

Serverstandort: Supabase, EU-Region Frankfurt. Die Zahlungsabwicklung läuft über Stripe.

Training: Deine Selfies trainieren ausschließlich dein eigenes, privates Modell. Dieses Modell wird nach der Lieferung gelöscht. Deine Bilder werden nicht für Modelle anderer Kunden und nicht für Fremdmodelle verwendet.

Löschfristen: Die hochgeladenen Selfies werden 7 Tage nach der Lieferung gelöscht, die Ergebnisse nach 30 Tagen. Beides kannst du jederzeit vorher selbst über einen Button in deiner Galerie auslösen. Lade deine Favoriten also vorher als ZIP herunter – nach der Löschung sind sie weg, und das ist so beabsichtigt.

Rechtsträger: Betreiber ist die Conscious Innovation Lab OÜ mit Sitz in Tallinn, Estland. Estland ist EU-Mitgliedstaat, damit gilt die DSGVO unmittelbar, und du hast eine benannte juristische Person, an die du Auskunfts- und Löschansprüche richten kannst. Eine Rechnung stellt Fotoklar ebenfalls aus.

CLOUD Act: Es gibt keine US-Muttergesellschaft. Die Verarbeitung findet in der EU statt.

Nutzungsrechte: Du hältst die vollen, unbegrenzten Nutzungsrechte an deinen Bildern, ohne Pflicht zur Namensnennung. Damit sind Bewerbung, LinkedIn, Xing, Website und Visitenkarte abgedeckt.

Ein Punkt, der nichts mit Datenschutz zu tun hat

KI-generierte Bilder sind für den deutschen Personalausweis und den Reisepass nicht zulässig. Dort gelten eigene biometrische Anforderungen und es braucht eine echte Aufnahme. Ein Bewerbungsfoto ist kein Passbild – auch wenn beide auf denselben Kopf zeigen.

Wenn du außerdem wissen willst, ob ein KI-Bewerbungsfoto überhaupt akzeptiert wird und wo die Grenze zwischen legitimer Retusche und problematischer Veränderung liegt, geht es hier weiter: Sind KI-Bewerbungsfotos erlaubt? Und wenn du gerade arbeitssuchend bist, ist ein Blick in den Antrag beim Arbeitsamt oder Jobcenter sinnvoll – Bewerbungsfotos sind grundsätzlich förderfähig, aber nur mit Antrag vor dem Kauf.

Fazit

Du musst nicht Jurist sein, um einen Anbieter zu prüfen. Serverstandort, Trainingszweck, Löschfrist, Impressum, Konzernzugehörigkeit – fünf Punkte, zehn Minuten, und du weißt mehr über deinen Anbieter als die meisten Kunden. Wenn du diese Prüfung nicht für dich allein machst, sondern für eine Belegschaft, kommt die Zustimmung deiner Leute als eigener Punkt dazu – dazu KI-Mitarbeiterfotos fürs Team.

Und wenn du dir die Antworten für Fotoklar erst in Ruhe ansehen willst: Der Upload ist kostenlos und unverbindlich, den Preis wählst du erst danach. Verarbeitung in der EU (Frankfurt), Selfies nach 7 Tagen gelöscht, Ergebnisse nach 30 Tagen oder sofort per Button, ein kostenloser Neu-Durchlauf ist in jeder Bestellung enthalten. Selfies hochladen