Stell dir vor, du gehst in Wien auf eine Demo — und im Nachhinein filtert die Polizei dein Gesicht aus den Aufnahmen und jagt es durch eine KI zur automatisierten Erkennung. Genau das ist bei den Protesten gegen die Gaskonferenz passiert. Jetzt hat die österreichische Datenschutzbehörde geurteilt: rechtswidrig. Es fehlte schlicht die gesetzliche Grundlage. Warum dieser Fall weit über Wien hinaus zählt — ehrlich eingeordnet.
Im März 2023 protestierten in Wien Klimaaktivisten gegen die Europäische Gaskonferenz. Rund um die Kundgebung nahm die Polizei etwa 140 Personen fest; gegen rund 165 Aktivisten wurden Verfahren eingeleitet — die später insgesamt eingestellt wurden.
Einige Demonstranten wollten sich nicht ausweisen. Die Polizei fotografierte sie — und glich diese Fotos anschließend mit einer automatisierten Gesichtserkennungs-Software gegen die „Zentrale erkennungsdienstliche Evidenz" ab, eine polizeiliche Datenbank. So wurde mindestens eine Person identifiziert und wegen Widerstands gegen die Staatsgewalt angezeigt.
Die Datenschutz-NGO epicenter.works brachte den Fall vor die Datenschutzbehörde — und bekam recht. Der Bescheid ist eindeutig: Für diesen „eingriffsintensiven" biometrischen Abgleich existiert „derzeit keine ausreichende gesetzliche Grundlage". Das Innenministerium hat angekündigt, in Berufung zu gehen.
Bei so einem Thema ist Präzision alles — sonst redet man aneinander vorbei. Vier Unterscheidungen, die den Fall erst richtig einordnen:
Der Einsatz war im März 2023, das rechtskräftige Nachspiel kommt erst jetzt. Solche Verfahren dauern — und in der Zwischenzeit war die Praxis im Einsatz, ohne dass jemand die Frage der Zulässigkeit geklärt hatte.
Das war kein Live-Scan in der Menge, sondern ein nachträglicher Abgleich von Fotos gegen eine Datenbank. Rechtlich ist das eine eigene Kategorie — aber deshalb nicht harmlos.
Dass Behörden Straftaten verfolgen und Menschen identifizieren dürfen, steht nicht infrage. Die Frage ist nicht ob, sondern wie — und auf welcher gesetzlichen Basis.
Ein Gesicht ist kein Nummernschild. Biometrische Daten sind nach DSGVO eine besondere Kategorie — sie genießen den höchsten Schutz, weil man sie nicht wie ein Passwort wechseln kann.
Kurz: Es geht nicht um „Polizei böse". Es geht um eine mächtige Technologie, die ohne klare gesetzliche Leitplanken eingesetzt wurde — und genau das hat die Datenschutzbehörde beanstandet.
Der Staat darf nicht alles, was technisch geht. Ein derart tiefer Eingriff braucht ein Gesetz, das ihn ausdrücklich erlaubt und begrenzt. Das fehlte — und damit war der Einsatz rechtswidrig. Kein Detail, sondern das Fundament des Rechtsstaats.
Wer auf die Straße geht, macht von einem Grundrecht Gebrauch. Wird jedes Gesicht in der Menge potenziell durch eine Datenbank gejagt, verschiebt sich etwas — vom „ich äußere meine Meinung" zu „ich werde dabei erfasst".
Präzedenzfälle haben Sog. Was einmal ohne Widerspruch durchgeht, wird beim nächsten Mal Routine. Deshalb ist es so wichtig, dass eine unabhängige Behörde hier früh eine Linie zieht — bevor aus der Ausnahme die Regel wird.
Die Technologie war noch nie das Problem — dieselbe Gesichtserkennung entsperrt dein Handy. Entscheidend ist, was wir damit tun dürfen und was nicht. Das ist eine politische und rechtliche Frage, keine technische.
Der Wiener Bescheid stützt sich auf das Datenschutzrecht, nicht auf den EU AI Act — der Vorfall war 2023, vor dessen Biometrie-Regeln. Aber genau diese Art von Einsatz ist es, die der AI Act inzwischen streng regelt. Der Fall ist damit ein Vorgeschmack.
Biometrische Fernidentifizierung ist im AI Act ein Sonderfall. Die Echtzeit-Erkennung von Gesichtern in öffentlich zugänglichen Räumen durch Strafverfolgungsbehörden ist grundsätzlich verboten — mit eng gefassten Ausnahmen (etwa bei der Suche nach Vermissten oder zur Abwehr einer konkreten terroristischen Bedrohung), die zusätzlich eine richterliche Genehmigung voraussetzen.
Der nachträgliche Abgleich — also genau der Wiener Fall — gilt als Hochrisiko-Anwendung. Er ist nicht pauschal verboten, aber an harte Bedingungen geknüpft: gesetzliche Grundlage, Verhältnismäßigkeit, Dokumentation, menschliche Aufsicht, in vielen Konstellationen ebenfalls eine richterliche oder behördliche Freigabe. Der rote Faden ist immer derselbe: Nicht, weil es geht — sondern nur, wenn ein Gesetz es klar erlaubt und begrenzt.
Genau deshalb ist der Wiener Bescheid so lehrreich: Er kommt zum selben Ergebnis, das der AI Act als Prinzip vorgibt — ohne saubere Rechtsgrundlage kein biometrischer Eingriff. Wer wissen will, wie dieser Rahmen für Unternehmen konkret aussieht, findet die Einordnung in unserem DSGVO- & AI-Act-Guide.
Das eigentlich Beunruhigende ist nicht der einzelne Abgleich, sondern der Chilling-Effekt: Wenn im Hinterkopf mitschwingt, dass die Teilnahme an einer Demo biometrisch erfasst und gespeichert werden könnte, überlegen sich manche zweimal, ob sie noch hingehen. Eine Überwachung muss nicht flächendeckend sein, um Verhalten zu verändern — es reicht die Möglichkeit. Und eine Demokratie lebt davon, dass Menschen ohne Angst auf die Straße gehen.
Dieselbe Gesichtserkennung, die dein Handy entsperrt, kann eine Demonstration zur durchleuchteten Zone machen. Der Unterschied liegt nicht im Code, sondern in den Regeln, die wir ihm geben. Wer KI ernst nimmt, muss beides können: die Chancen nutzen und die Grenzen verteidigen.
Ich verstehe den Reflex „Straftäter müssen ermittelt werden" — der ist berechtigt. Aber der heimliche biometrische Abgleich ohne gesetzliche Grundlage ist eine völlig andere Hausnummer als klassische Ermittlungsarbeit. Und die Datenschutzbehörde hat genau da eine Grenze gezogen, wo sie hingehört.
Für mich ist das kein „KI ist gefährlich"-Fall. Es ist ein „Regeln zuerst"-Fall. Die Technik ist neutral. Was fehlt, ist oft nicht die Fähigkeit, sondern die saubere rechtliche Basis — und die menschliche Entscheidung, wo Schluss ist.
Als jemand, der jeden Tag mit KI arbeitet, ist mir dieser Teil genauso wichtig wie die coolen Anwendungen: Nur wenn wir die Grenzen ernst nehmen, bleibt KI ein Werkzeug, dem Menschen vertrauen. Deshalb gehört dieser Fall in jede ehrliche KI-Diskussion.
Quellen: Tiroler Tageszeitung — Einsatz von Gesichtserkennung war rechtswidrig · NÖN — Gesichtserkennung bei Klimademo rechtswidrig · ORF Wien — Gesichtserkennung bei Klimademo war illegal · epicenter.works (Beschwerdeführerin). Stand: 28.07.2026. Der Einsatz erfolgte im März 2023; der Bescheid der österreichischen Datenschutzbehörde ist nicht rechtskräftig, das Innenministerium hat Berufung angekündigt. Angaben zum EU AI Act geben den Rechtsrahmen wieder und sind keine Rechtsberatung.
DSGVO, EU AI Act, Kennzeichnungspflicht: Was du beim Einsatz von KI wirklich beachten musst — verständlich erklärt, kein Juristendeutsch, kein Download.
Jetzt gratis lesen →Ich zeige Marken, wie sie KI produktiv nutzen, ohne die Grenzen aus dem Blick zu verlieren — rechtssicher, ehrlich, wirksam. Lass uns über deinen Einsatz reden.