Eine anonyme Demonstrantin bei einer nächtlichen Kundgebung, deren Gesicht von einem magentafarbenen KI-Erkennungsrahmen mit biometrischen Messpunkten erfasst wird
KI & Recht · Biometrische Überwachung · 28. Juli 2026

Dein Gesicht.
Ihr Beweis.

Stell dir vor, du gehst in Wien auf eine Demo — und im Nachhinein filtert die Polizei dein Gesicht aus den Aufnahmen und jagt es durch eine KI zur automatisierten Erkennung. Genau das ist bei den Protesten gegen die Gaskonferenz passiert. Jetzt hat die österreichische Datenschutzbehörde geurteilt: rechtswidrig. Es fehlte schlicht die gesetzliche Grundlage. Warum dieser Fall weit über Wien hinaus zählt — ehrlich eingeordnet.

Lesedauer7 Minuten
ThemaKI & Recht
OrtWien, Österreich
Stand28. Juli 2026
Gesichtserkennung bei Demo = rechtswidrig Datenschutzbehörde: keine Rechtsgrundlage Biometrischer Abgleich per KI-Software Beschwerde: NGO epicenter.works Innenministerium legt Berufung ein Gesichtserkennung bei Demo = rechtswidrig Datenschutzbehörde: keine Rechtsgrundlage Biometrischer Abgleich per KI-Software Beschwerde: NGO epicenter.works Innenministerium legt Berufung ein

Ein Foto. Eine KI.
Ein Verdächtiger.

Im März 2023 protestierten in Wien Klimaaktivisten gegen die Europäische Gaskonferenz. Rund um die Kundgebung nahm die Polizei etwa 140 Personen fest; gegen rund 165 Aktivisten wurden Verfahren eingeleitet — die später insgesamt eingestellt wurden.

Einige Demonstranten wollten sich nicht ausweisen. Die Polizei fotografierte sie — und glich diese Fotos anschließend mit einer automatisierten Gesichtserkennungs-Software gegen die „Zentrale erkennungsdienstliche Evidenz" ab, eine polizeiliche Datenbank. So wurde mindestens eine Person identifiziert und wegen Widerstands gegen die Staatsgewalt angezeigt.

Die Datenschutz-NGO epicenter.works brachte den Fall vor die Datenschutzbehörde — und bekam recht. Der Bescheid ist eindeutig: Für diesen „eingriffsintensiven" biometrischen Abgleich existiert „derzeit keine ausreichende gesetzliche Grundlage". Das Innenministerium hat angekündigt, in Berufung zu gehen.

Der Fall im Überblick

AnlassDemo Gaskonferenz
Ort & ZeitWien, März 2023
MittelKI-Gesichtsabgleich
UrteilRechtswidrig
GrundKeine Rechtsgrundlage
Beschwerdeepicenter.works
StatusBerufung angekündigt

Vier Dinge, die man
nicht verwechseln darf.

Bei so einem Thema ist Präzision alles — sonst redet man aneinander vorbei. Vier Unterscheidungen, die den Fall erst richtig einordnen:

2023

Tat ≠ Urteil

Der Einsatz war im März 2023, das rechtskräftige Nachspiel kommt erst jetzt. Solche Verfahren dauern — und in der Zwischenzeit war die Praxis im Einsatz, ohne dass jemand die Frage der Zulässigkeit geklärt hatte.

Nach

Nicht Echtzeit

Das war kein Live-Scan in der Menge, sondern ein nachträglicher Abgleich von Fotos gegen eine Datenbank. Rechtlich ist das eine eigene Kategorie — aber deshalb nicht harmlos.

Recht

Ermittlung ist legitim

Dass Behörden Straftaten verfolgen und Menschen identifizieren dürfen, steht nicht infrage. Die Frage ist nicht ob, sondern wie — und auf welcher gesetzlichen Basis.

Bio

Biometrie ist besonders

Ein Gesicht ist kein Nummernschild. Biometrische Daten sind nach DSGVO eine besondere Kategorie — sie genießen den höchsten Schutz, weil man sie nicht wie ein Passwort wechseln kann.

Kurz: Es geht nicht um „Polizei böse". Es geht um eine mächtige Technologie, die ohne klare gesetzliche Leitplanken eingesetzt wurde — und genau das hat die Datenschutzbehörde beanstandet.

Der Kern ist nicht die Technik.
Sondern die Grenze.

Punkt 1 · die Grundlage
Ohne Gesetz kein Einsatz

Der Staat darf nicht alles, was technisch geht. Ein derart tiefer Eingriff braucht ein Gesetz, das ihn ausdrücklich erlaubt und begrenzt. Das fehlte — und damit war der Einsatz rechtswidrig. Kein Detail, sondern das Fundament des Rechtsstaats.

Punkt 2 · das Grundrecht
Demonstrieren ist frei

Wer auf die Straße geht, macht von einem Grundrecht Gebrauch. Wird jedes Gesicht in der Menge potenziell durch eine Datenbank gejagt, verschiebt sich etwas — vom „ich äußere meine Meinung" zu „ich werde dabei erfasst".

Punkt 3 · der Dammbruch
Aus einmal wird Standard

Präzedenzfälle haben Sog. Was einmal ohne Widerspruch durchgeht, wird beim nächsten Mal Routine. Deshalb ist es so wichtig, dass eine unabhängige Behörde hier früh eine Linie zieht — bevor aus der Ausnahme die Regel wird.

Punkt 4 · das eigentliche Problem
Nicht die KI. Wir.

Die Technologie war noch nie das Problem — dieselbe Gesichtserkennung entsperrt dein Handy. Entscheidend ist, was wir damit tun dürfen und was nicht. Das ist eine politische und rechtliche Frage, keine technische.

Was der EU AI Act
dazu sagt.

Der Wiener Bescheid stützt sich auf das Datenschutzrecht, nicht auf den EU AI Act — der Vorfall war 2023, vor dessen Biometrie-Regeln. Aber genau diese Art von Einsatz ist es, die der AI Act inzwischen streng regelt. Der Fall ist damit ein Vorgeschmack.

Biometrische Fernidentifizierung ist im AI Act ein Sonderfall. Die Echtzeit-Erkennung von Gesichtern in öffentlich zugänglichen Räumen durch Strafverfolgungsbehörden ist grundsätzlich verboten — mit eng gefassten Ausnahmen (etwa bei der Suche nach Vermissten oder zur Abwehr einer konkreten terroristischen Bedrohung), die zusätzlich eine richterliche Genehmigung voraussetzen.

Der nachträgliche Abgleich — also genau der Wiener Fall — gilt als Hochrisiko-Anwendung. Er ist nicht pauschal verboten, aber an harte Bedingungen geknüpft: gesetzliche Grundlage, Verhältnismäßigkeit, Dokumentation, menschliche Aufsicht, in vielen Konstellationen ebenfalls eine richterliche oder behördliche Freigabe. Der rote Faden ist immer derselbe: Nicht, weil es geht — sondern nur, wenn ein Gesetz es klar erlaubt und begrenzt.

Genau deshalb ist der Wiener Bescheid so lehrreich: Er kommt zum selben Ergebnis, das der AI Act als Prinzip vorgibt — ohne saubere Rechtsgrundlage kein biometrischer Eingriff. Wer wissen will, wie dieser Rahmen für Unternehmen konkret aussieht, findet die Einordnung in unserem DSGVO- & AI-Act-Guide.

Der Effekt, den keiner misst

Das eigentlich Beunruhigende ist nicht der einzelne Abgleich, sondern der Chilling-Effekt: Wenn im Hinterkopf mitschwingt, dass die Teilnahme an einer Demo biometrisch erfasst und gespeichert werden könnte, überlegen sich manche zweimal, ob sie noch hingehen. Eine Überwachung muss nicht flächendeckend sein, um Verhalten zu verändern — es reicht die Möglichkeit. Und eine Demokratie lebt davon, dass Menschen ohne Angst auf die Straße gehen.

Technologie war nie das Problem.
Die Entscheidung, was wir damit machen, schon.

Dieselbe Gesichtserkennung, die dein Handy entsperrt, kann eine Demonstration zur durchleuchteten Zone machen. Der Unterschied liegt nicht im Code, sondern in den Regeln, die wir ihm geben. Wer KI ernst nimmt, muss beides können: die Chancen nutzen und die Grenzen verteidigen.

Eine rote Linie,
klar gezogen.

Ich verstehe den Reflex „Straftäter müssen ermittelt werden" — der ist berechtigt. Aber der heimliche biometrische Abgleich ohne gesetzliche Grundlage ist eine völlig andere Hausnummer als klassische Ermittlungsarbeit. Und die Datenschutzbehörde hat genau da eine Grenze gezogen, wo sie hingehört.

Für mich ist das kein „KI ist gefährlich"-Fall. Es ist ein „Regeln zuerst"-Fall. Die Technik ist neutral. Was fehlt, ist oft nicht die Fähigkeit, sondern die saubere rechtliche Basis — und die menschliche Entscheidung, wo Schluss ist.

Als jemand, der jeden Tag mit KI arbeitet, ist mir dieser Teil genauso wichtig wie die coolen Anwendungen: Nur wenn wir die Grenzen ernst nehmen, bleibt KI ein Werkzeug, dem Menschen vertrauen. Deshalb gehört dieser Fall in jede ehrliche KI-Diskussion.

Merken für die Praxis

Wiener Polizei glich Demo-Fotos per KI-Gesichtserkennung ab — Datenschutzbehörde: rechtswidrig.
Grund: keine ausreichende gesetzliche Grundlage für den eingriffsintensiven Abgleich.
Es war ein nachträglicher Abgleich, kein Echtzeit-Scan — trotzdem hochsensibel.
EU AI Act: Echtzeit-Fernerkennung weitgehend verboten, nachträgliche gilt als Hochrisiko.
Kernbotschaft: Nicht weil es technisch geht — sondern nur, wenn ein Gesetz es klar erlaubt.

Quellen: Tiroler Tageszeitung — Einsatz von Gesichtserkennung war rechtswidrig · NÖN — Gesichtserkennung bei Klimademo rechtswidrig · ORF Wien — Gesichtserkennung bei Klimademo war illegal · epicenter.works (Beschwerdeführerin). Stand: 28.07.2026. Der Einsatz erfolgte im März 2023; der Bescheid der österreichischen Datenschutzbehörde ist nicht rechtskräftig, das Innenministerium hat Berufung angekündigt. Angaben zum EU AI Act geben den Rechtsrahmen wieder und sind keine Rechtsberatung.

Gratis-Online-Guide

KI rechtssicher nutzen

DSGVO, EU AI Act, Kennzeichnungspflicht: Was du beim Einsatz von KI wirklich beachten musst — verständlich erklärt, kein Juristendeutsch, kein Download.

Jetzt gratis lesen →
Kein Spam · Double-Opt-In · Abmeldung jederzeit
✓ Eingetragen — bitte bestätige noch die Mail in deinem Postfach.
Zum DSGVO- & AI-Act-Guide →

KI mit Haltung —
und mit Verstand.

Ich zeige Marken, wie sie KI produktiv nutzen, ohne die Grenzen aus dem Blick zu verlieren — rechtssicher, ehrlich, wirksam. Lass uns über deinen Einsatz reden.

Kennenlernen →