KI-Bewerbungs- und Businessfotos & identitätserhaltende Porträterzeugung

Ein Studioporträt kostet pro Beschäftigtem einen Fotografen, einen Tag Terminplanung und eine Retusche-Runde, sodass Teams auf ihrer Website oft uneinheitliche Handyschnappschüsse zeigen. Identitätserhaltende Bildmodelle machen aus wenigen Selfies gepflegte Porträts mit einheitlichem Erscheinungsbild. Nutzen: Minuten statt eines Fototermins, einheitliche Teamseiten und eine günstige Option für Einzelpersonen und Neueinstellungen. Der Preis sind personenbezogene Daten mit biometrischer Qualität, Grenzen beim Realismus und die Frage der Authentizität.

Problem & Nutzen

• Heute: Mitarbeiterfotos stammen vom Handy, aus alten Fotoshootings oder von einem gelegentlichen Fotografenbesuch. Remote- und verteilten Teams, schnell wachsenden KMU und Stellensuchenden fehlt ein einheitliches professionelles Bild.
• KI-Nutzen: Niedrige Kosten pro Person, keine Terminplanung, einheitlicher Hintergrund, einheitliches Licht und einheitliche Kleidung im gesamten Team, schnelle Auffrischung bei Neueintritten. Anbieter wie HeadshotPro, BetterPic und Aragon vermarkten dies als Massenmarkt-Dienst für Einzelpersonen und Unternehmen [1][2][3].
• Vorbehalt zu den Zahlen: Preis- und Lieferzeitangaben der Anbieter schwanken und ändern sich oft; messen Sie an Ihren eigenen Fotografenkosten und der Nacharbeitsquote, statt sich auf Marketingzahlen zu verlassen.

Varianten

• Private Nutzung: Bewerbungen, LinkedIn, berufliche Profile; SaaS mit Bezahlung pro Paket.
• Teameinführung im KMU: Eine Stilvorgabe, alle Beschäftigten laden Selfies hoch, Admin-Dashboard, einheitlicher Export.
• Großunternehmen: SSO, AVV, Löschfristen im SLA, markenkonforme Voreinstellungen, Anbindung an HR-/Intranet-Verzeichnis.
• Kreative Porträts und Avatare: Stilisierte oder Fantasie-Porträts derselben Person (für Video-Avatare siehe GEN-003).
• Außerhalb des Umfangs / Vorsicht: Fotos für Ausweis, Reisepass, Visum oder eID müssen echte Fotografien sein; generierte Bilder sind dort nicht zulässig. Porträts Dritter ohne Einwilligung sind kein Anwendungsfall.

So funktioniert es

1. Einwilligung + Selfie-Upload (10-20 Bilder)
2. Qualitätsschranke (Gesichtserkennung, Prüfung auf Unschärfe/Verdeckung/Duplikate, Einzelpersonen-Prüfung)
3. Identitätsrepräsentation (LoRA-Feintuning pro Person ODER Zero-Shot-Identitätsadapter)
4. bedingte Generierung (Stil-Prompt: Hintergrund, Kleidung, Pose, Beleuchtung)
5. Identitätsähnlichkeitsfilter (Gesichts-Embedding-Abstand zu den Uploads) + Ästhetik-/Artefaktfilter
6. menschliche Auswahl durch die abgebildete Person (und Markenprüfung bei Teamseiten)
7. Export mit Herkunftskennzeichnung; Löschung der Uploads und des Identitätsmodells

• Feintuning pro Person (Stil LoRA/DreamBooth): Ein kleiner Adapter wird auf die Selfies der Person über einem Text-zu-Bild-Basismodell trainiert; starke Ähnlichkeit, Minuten an GPU-Zeit pro Person.
• Identitäts-Adapter (Zero-Shot): InstantID, PuLID, IP-Adapter-FaceID und Bildbearbeitungsmodelle mit Referenzbild (z. B. FLUX.1 Kontext, Qwen-Image-Edit, Gemini-Bildbearbeitung) arbeiten mit einem oder wenigen Fotos ohne Training; schneller und einfacher zu löschen, meist etwas schwächere Ähnlichkeit.
• Prüfung per Gesichts-Embedding: Ein Gesichtserkennungs-Embedding-Modell dient nur dazu, die Ähnlichkeit zwischen generierten und hochgeladenen Bildern derselben Person zu bewerten. Das ist dennoch biometrische Verarbeitung (siehe Risiken).
• Mensch-in-der-Schleife (Human-in-the-Loop): Die abgebildete Person muss jedes veröffentlichte Bild freigeben; Marke/HR prüfen Teamseiten.

Datenaufbereitung

Die Daten sind ein kleiner, personenbezogener Satz pro Teilnehmer: 10-20 Selfies mit unterschiedlichem Winkel, Licht und Ausdruck, dazu eine Stilvorgabe und ein Einwilligungsnachweis. Selfies kommen vom Smartphone, vorhandene Mitarbeiterfotos liegen in HR-Systemen, im Intranet oder im Website-CMS, der Marken-Styleguide auf einer Marketing-Freigabe. Typische Lücken sind unscharfe oder gefilterte Selfies, Fotos mit weiteren Personen im Bild, fehlende Einwilligungs- und Aufbewahrungsnachweise, uneinheitliche Ausschnitte und Dresscode-Regeln sowie alte Porträts mit ungeklärtem Lizenzstatus.

Vorbereitungsschritte: - Stellen Sie eine kurze Selfie-Anleitung bereit (Tageslicht, keine Filter, keine Sonnenbrille, neutraler Hintergrund) und ein automatisches Qualitätstor für Unschärfe, Duplikate und die Prüfung auf eine einzelne Person. - Führen Sie pro Person ein Einwilligungsregister mit Zweck, Aufbewahrungsdatum und einer echten Alternative (eigenes Foto oder Fotograf), damit die Teilnahme freiwillig ist. - Definieren Sie die Stilvorgabe einmalig: Hintergrund, Kleidung, Ausschnitt, Farbgebung, Dateibenennung. - Legen Sie Uploads in einem getrennten, zugriffsbeschränkten Ordner mit Löschjob ab; vermischen Sie sie nicht mit der Personalakte. - Wo Daten über das Selfie hinaus verarbeitet werden, siehe PREP-024 für Klassifizierungsregeln und PREP-025 für die Prüfung von Zweck und Rechtsgrundlage.

Grober Aufwandsanteil: etwa 10-15 Prozent des Projekts, überwiegend für den Umgang mit Einwilligungen und das Qualitätstor.

Umsetzungswege

Welcher Weg für wen

• Privat: Weg A, weil ein Porträtdienst oder ein Bildbearbeitungsassistent für wenige Euro ein Ergebnis liefert und nur Ihre eigenen Fotos betroffen sind.
• KMU: Weg A, weil eine einmalige Teameinführung mit einem Porträtdienst günstig ist; verlangen Sie einen AVV, die Löschung von Uploads und Modellen sowie die Zusage, nicht damit zu trainieren, und halten Sie die Teilnahme freiwillig.
• Großunternehmen: Weg C, weil Gesichtsbilder vieler Beschäftigter sensibel sind, eine DSFA wahrscheinlich ist und eine selbst betriebene Identitäts-Pipeline (ComfyUI, Qwen-Image-Edit, InsightFace) die Daten im Haus hält und die Plattform für weitere Bildaufgaben wiederverwendet werden kann.
• Entwickler: Weg C, weil offene Modelle und LoRA-Werkzeuge einen kontrollierten, nachvollziehbaren Dienst mit eingebauter Einwilligung und Löschung erlauben; nutzen Sie B nur für eine gehostete Produktfunktion.

Weg A - Kaufen (Standardsoftware) (für Einzelpersonen und die meisten KMU empfohlen)

• Spezielle Porträtdienste: HeadshotPro, BetterPic, Aragon AI, Secta (früher Headshot.ai) und ähnliche; Teamtarife mit gemeinsamem Stil. Anbieter mit Sitz oder Hosting in der EU sind selten, prüfen Sie daher Hosting-Region, Unterauftragsverarbeiter und Löschrichtlinie in den Datenschutzbedingungen [1][2][3].
• Allgemeine Assistenten: Bildbearbeitungsfunktionen in ChatGPT, Gemini oder Adobe Firefly können ein Porträt ohne Training umstylen („Studio-Look“); Adobe Firefly ist mit lizenzierten Daten trainiert, ein Plus für die kommerzielle Nutzung [4].
• Wählen Sie A, wenn: Sie unter einigen Hundert Porträts bleiben, keine strengen Anforderungen an den Datenspeicherort bestehen und der Anbieter einen AVV, die ausdrückliche Löschung von Uploads und Modellen sowie die Zusage bietet, nicht damit zu trainieren.

Weg B - Auf Cloud-KI-Diensten aufbauen

• Bildbearbeitungs-/Generierungs-APIs: Black Forest Labs (Freiburg, EU) mit der Familie FLUX Kontext / FLUX.2 über die API oder Partner mit EU-Hosting, Google-Gemini-Bildmodelle über Vertex AI (EU-Region), die Bild-API von OpenAI, fal.ai/Replicate für Endpunkte zum LoRA-Training [5].
• Orchestrierung: Kleine Web-App mit Upload, Einwilligungsbildschirm, Qualitätstor, Job-Warteschlange, Generierung, Auswahloberfläche und automatischem Löschjob. Ergänzen Sie C2PA-Signierung der Exporte.
• Wählen Sie B, wenn: Sie ein hauseigenes Werkzeug unter eigener Marke für Beschäftigte oder eine Produktfunktion wollen, mit AVV und EU-Region.

Weg C - Selbst betreiben (Open Source)

• Modelle: FLUX.1 [dev]/Kontext [dev] (nicht-kommerzielle Lizenzbedingungen - vor geschäftlicher Nutzung prüfen), Stable Diffusion XL / SD 3.5 (Community-Lizenz), Qwen-Image / Qwen-Image-Edit (Apache-2.0), Z-Image und andere Veröffentlichungen mit freizügiger Lizenz; prüfen Sie jede Lizenz auf kommerzielle Nutzung.
• Identitätswerkzeuge: InstantID, PuLID, IP-Adapter-FaceID, ComfyUI-Workflows; LoRA-Training mit kohya_ss, ai-toolkit oder diffusers/PEFT; InsightFace für Gesichtserkennung und Ähnlichkeitsbewertung (Lizenz der veröffentlichten Gewichte prüfen) [6][7].
• Hardware: HW2 (GPU mit 24-32 GB) für Inferenz und LoRA-Training jeweils einer Person; HW3 für Stapelverarbeitung bei Teameinführungen. Die Daten verlassen nie Ihre Infrastruktur, die stärkste Position nach DSGVO.
• Wählen Sie C, wenn: Datenschutzbeauftragte US-Auftragsverarbeiter ablehnen oder Sie einen Dienst betreiben.

Weg D - Eigenes Training

Selten nötig. Lohnt sich für ein Produktunternehmen, das einen Hausstil will (ein Stil-LoRA, das für alle Personen gemeinsam genutzt wird), oder für ein feingetuntes Basismodell auf lizenzierten bzw. mit Einwilligung erhobenen Porträtdaten. Trainieren Sie niemals mit abgegriffenen Gesichtern.

Stand der Technik (2026)

• Referenzbasierte Bearbeitungsmodelle liefern inzwischen überzeugende Ähnlichkeit aus einem bis wenigen Bildern ohne Training pro Person; LoRAs pro Person liegen bei Ähnlichkeit und Konsistenz über viele Posen weiterhin vorn.
• Typische Fehlerbilder: „Plastik“-Haut und Überglättung, falsches Alter oder verflachte ethnische Merkmale, veränderte Zähne/Augen/Brillen, unnatürliche Hände und Schmuck, wandernder Haaransatz oder veränderte Körperform, Verzerrungen bei Voreinstellungen für Kleidung und Hintergrund sowie eine Abweichung zwischen Porträt und realer Person im Vorstellungsgespräch. Fotos mit mehreren Gesichtern oder starken Filtern unter den Uploads verschlechtern die Ergebnisse.
• Authentizitätsdebatte: Plattformen und Personalverantwortliche fordern zunehmend unretuschierte oder als KI gekennzeichnete Bilder; Herkunftsstandards (C2PA Content Credentials) und unsichtbare Wasserzeichen verbreiten sich [8].
• Trend: weg vom langsamen LoRA-Training hin zu sofortigen, geräte- oder API-basierten identitätsgesteuerten Bearbeitungen, was auch das Löschen vereinfacht.

Gemeinsame Bausteine & Kombinationen

• Gleicher Technologie-Stack (Bilderzeugung + Segmentierung): GEN-001 Marketingbilder, GEN-011 Retusche und Hintergrundersatz, GEN-010 virtuelle Anprobe, GEN-017 Fotorestaurierung; ein ComfyUI-/diffusers- Server auf HW2/HW3 bedient sie alle.
• Gemeinsame Schutzmaßnahmen zur Identität mit: VIS-030 (Gesichtsanonymisierung), VIS-016 (Gesichtserkennung) und SEC-011 (Deepfake-Erkennung) - dieselben Gesichts-Embedding-Komponenten kommen in allen vor.
• Nachgelagert: GEN-003-Avatarvideos nutzen den freigegebenen Porträtsatz erneut; Website-Generierung GEN-027.

Aufwand, Kosten & Kennzahlen

• Weg A: Stunden bis Tage; Preis pro Person oder Paket. Weg B: 2-6 Wochen für ein internes Werkzeug. Weg C: 1-2 Monate inkl. Workflow-Abstimmung und GPU-Betrieb. Kostentreiber: GPU-Minuten pro Person, Nacharbeit (erneute Läufe), Zeit für die menschliche Prüfung, Werkzeuge für Einwilligung und Löschung.
• Kennzahlen: Anteil der Personen, die mindestens ein Bild annehmen, Bewertung der Ähnlichkeit durch die Person und Kollegen, Nacharbeitsquote, Kosten pro freigegebenem Porträt, Zeit bis zur Veröffentlichung, eingehaltene Löschfrist im SLA (%), Anzahl bearbeiteter Widerrufe von Einwilligungen.

Menschen & Veränderung

Wer und wann. Beginnen Sie mit Geschäftsleitung und HR, die den Zweck (Mitarbeiterseiten, Bewerbungen, Intranet) und die Dresscode-Vorgabe verantworten. Beziehen Sie die Datenschutzbeauftragte bzw. den Datenschutzbeauftragten und Recht/Compliance vor jedem Upload von Beschäftigten ein: Selfies sind personenbezogene Daten, für die Ähnlichkeitsbewertung genutzte Gesichts-Embeddings kommen biometrischen Daten nach Art. 9 DSGVO nahe, und die Einwilligung von Beschäftigten ist selten freiwillig, bieten Sie deshalb eine echte Alternative an. Die Anwender (die abgebildeten Beschäftigten) sollten den Stil mitbestimmen und jedes Bild von sich freigeben. In Unternehmen mit Betriebsrat beziehen Sie diesen früh ein.

Betriebsrat. Kommt darauf an, bei teamweiten Einführungen gehen Sie aber von einer Beteiligung aus. Ein freiwilliges, einmaliges Porträtwerkzeug überwacht für sich genommen kein Verhalten, doch die Nutzung einer unternehmensweiten Plattform mit Protokollierung kann § 87 Abs. 1 Nr. 6 BetrVG auslösen (BAG: die objektive Eignung genügt), und § 90 Abs. 1 Nr. 3 verlangt die Information über KI-gestützte Arbeitsprozesse. Eine kurze Betriebsvereinbarung sollte Freiwilligkeit, Aufbewahrung, den Ausschluss biometrischer Analyse und den Ausschluss der Nutzung bei der Leistungsbeurteilung regeln. Öffentlicher Dienst: Personalrat.

Datenschutzbeauftragte(r) und DSFA. DSFA (Art. 35 DSGVO) bei teamweiten Einführungen; AVV (Art. 28) mit jedem Anbieter; siehe GUIDE-005 und GUIDE-004.

KI-Kompetenz, Kommunikation, Pilot. Fördern Sie die KI-Kompetenz (Art. 4 KI-Verordnung) mit einer kurzen Einweisung dazu, was generiert wird und wie es gekennzeichnet ist (GUIDE-006). Starten Sie einen Pilot mit 5-10 Freiwilligen (GUIDE-008). Typische Sorgen: „Ich sehe unecht aus“ und „Mein Gesicht wird gespeichert.“ Begegnen Sie ihnen mit Freigaberechten, Löschbestätigung und einem Hinweis auf den Teamseiten. Menschen entscheiden, welches Bild veröffentlicht wird.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): In der Regel begrenztes Risiko. Transparenzpflichten nach Art. 50 für Betreiber von Bildinhalten, die ein Deepfake sind (Kennzeichnung als künstlich erzeugt oder manipuliert), und für Anbieter von Generierungssystemen (maschinenlesbare Kennzeichnung der Ausgaben). Ein realistisches Porträt, das einer realen Person ähnelt, gilt voraussichtlich als Deepfake; prüfen Sie die Leitlinien der Kommission und den Verhaltenskodex zu Kennzeichnung und Markierung sowie die geltenden Fristen [9]. Nicht verboten, doch die Verwendung als Eingabe für Emotionserkennung am Arbeitsplatz oder biometrische Kategorisierung würde unter die Verbote nach Art. 5 fallen - kombinieren Sie diese Pipeline nie mit solchen Analysen. Recruiting-Werkzeuge, die Bewerber bewerten, sind nach Anhang III Hochrisiko-Systeme und von der Porträterzeugung getrennt zu betrachten.
• DSGVO: Selfies sind personenbezogene Daten; Gesichts-Templates/-Embeddings, die zur Identifizierung oder Überprüfung einer Person dienen, sind biometrische Daten nach Art. 9 (besondere Kategorie). Einfache Fotografien sind nicht automatisch besondere Kategorie (Erwägungsgrund 51), doch Training von Identitätsmodellen und Ähnlichkeitsbewertung liegen nahe an der Grenze. Bevorzugen Sie die ausdrückliche Einwilligung (Art. 9 Abs. 2 Buchst. a), die von Beschäftigten in einem Abhängigkeitsverhältnis selten „freiwillig“ erteilt wird - bieten Sie eine echte Alternative (eigenes Foto oder Fotograf) an und machen Sie die Teilnahme freiwillig. Führen Sie bei teamweiten Einführungen eine DSFA durch, schließen Sie einen AVV, löschen Sie Uploads und Modelle pro Person nach der Lieferung (kurze Aufbewahrungsfrist festlegen und überprüfen) und untersagen Sie dem Anbieter die Weiterverwendung für Modelltraining [10].
• Sonstiges: Persönlichkeits- und Bildrechte (Recht am eigenen Bild, KUG in Deutschland); Risiko der Irreführung in Bewerbungen oder Berufsregistern; Marktplatzregeln zu KI-generierten Profilbildern; Mitbestimmung des Betriebsrats in Deutschland bei unternehmensweiten Werkzeugen.
• Missbrauch: Dieselbe Technologie ermöglicht Identitätsvortäuschung und nicht einvernehmliche Deepfakes. Verlangen Sie, dass die hochladende Person die abgebildete Person ist (Lebenderkennung oder Selfie-Abgleich), blockieren Sie Fotos von Minderjährigen und Dritten, filtern Sie Nacktheit und Personen des öffentlichen Lebens und protokollieren Sie Anfragen.
• Gegenmaßnahmen: Einwilligungsbildschirm, Angebot einer Alternative, minimale Aufbewahrung, EU-Hosting oder Selbstbetrieb, C2PA-Kennzeichnung der Exporte, Hinweis auf den Teamseiten („Porträts KI-generiert“), menschliche Freigabe durch die abgebildete Person.

Erste Schritte

1. Legen Sie Zweck und Rechtsgrundlage fest; schreiben Sie eine einseitige DSFA und eine Einwilligung zum Mitmachen mit einer Alternative ohne KI.
2. Definieren Sie die Stilvorgabe (Hintergrundfarbe, Ausschnitt, Kleidung, Farbgebung) und testen Sie sie mit 3 Freiwilligen.
3. Vergleichen Sie 2 Anbieter von Weg A hinsichtlich AVV, Löschnachweis, Hosting-Region und Klausel zum Nicht-Training.
4. Führen Sie einen Pilot durch, lassen Sie jede Person Bilder auswählen und freigeben; sammeln Sie Bewertungen zur Ähnlichkeit.
5. Ergänzen Sie Kennzeichnung/C2PA-Metadaten, automatisieren Sie die Löschung und prüfen Sie vor der Einführung die Leitlinien zu Art. 50.

Quellen

1. HeadshotPro - https://www.headshotpro.com/ (service description and privacy terms; accessed 2026-10)
2. BetterPic - https://www.betterpic.io/ (service description; accessed 2026-10)
3. Aragon AI - https://www.aragon.ai/ (service description; accessed 2026-10)
4. Adobe Firefly - https://www.adobe.com/products/firefly.html
5. Black Forest Labs documentation - https://docs.bfl.ai/
6. InstantID - https://github.com/instantX-research/InstantID
7. InsightFace - https://github.com/deepinsight/insightface
8. C2PA - Coalition for Content Provenance and Authenticity - https://c2pa.org/
9. Regulation (EU) 2024/1689 (AI Act), Art. 50 - https://eur-lex.europa.eu/eli/reg/2024/1689/oj
10. EDPB - Guidelines 3/2019 on processing of personal data through video devices (biometric and facial data) - https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_en