Datenschutzbehörde: Gesichtserkennung der Wiener Polizei war rechtsgrundlos

Die österreichische Datenschutzbehörde hat am 22. Juli 2026 einer Beschwerde stattgegeben und festgestellt, dass die Landespolizeidirektion Wien einen Demonstrationsteilnehmer im Recht auf Geheimhaltung verletzt hat. Sie ließ am 5. April 2023 seine Lichtbilder ohne Rechtsgrundlage durch eine Gesichtserkennungssoftware laufen (GZ 2026-0.396.500, Verfahrenszahl DSB-D124.1003/25).

Der Mann hatte am 27. März 2023 an einer Demonstration gegen die Europäische Gaskonferenz in Wien teilgenommen. Bei der Kundgebung kam es zu Ausschreitungen, er wurde wegen Verdachts nach §§ 12, 269 und § 274 StGB erfasst.

Neun Tage später lief der Abgleich. Die Polizei prüfte sein Lichtbild automatisiert gegen die Datenbank Zentrale Erkennungsdienstliche Evidenz (EDE), eingesetzt wurde FaceVACS-DBScan der Cognitec Systems GmbH. Der Ergebnisbericht führte sein Bild mit einem Score von 91,15 Prozent an erster Stelle. Am 6. Juni 2023 wurde er als Beschuldigter vernommen.

Die Staatsanwaltschaft Wien stellte das Ermittlungsverfahren am 8. Februar 2024 ein. Vom Gesichtsabgleich selbst erfuhr der Betroffene erst am 19. April 2024, durch eine datenschutzrechtliche Auskunft. Beschwerde erhob er am 18. April 2025, vertreten durch eine Grundrechte-Schutzvereinigung, die der Bescheid pseudonymisiert.

Rechtlich hängt der Fall an einer Zuständigkeitsfrage. Weil der Abgleich zu einem Strafverfahren gehörte, gilt nicht die DSGVO, sondern das 3. Hauptstück des DSG, mit dem Österreich die Richtlinie (EU) 2016/680 umgesetzt hat.

§ 39 DSG erlaubt es nur unter zwei Bedingungen, biometrische Daten zur eindeutigen Identifizierung zu verarbeiten: Der Eingriff muss unbedingt erforderlich sein, und es müssen wirksame Maßnahmen zum Schutz der Rechte und Freiheiten Betroffener getroffen worden sein. Beides zusammen, nicht eines von beiden.

Daran scheiterte die Landespolizeidirektion. Sie berief sich im Kern auf § 75 SPG; konkrete verfahrensrechtliche oder organisatorische Schutzmaßnahmen legte sie laut Bescheid nicht dar.

Der Bescheid ist nicht rechtskräftig, die Frist für eine Beschwerde an das Bundesverwaltungsgericht war zum Veröffentlichungszeitpunkt offen. Wie lange solche Verfahren dauern können, zeigt der Post-Datenhandel, den der Verwaltungsgerichtshof erst nach sieben Jahren abschloss.

Laut den Sachverhaltsfeststellungen setzt das Innenministerium die Software seit spätestens 2020 ein. Wie viele Abgleiche in diesen sechs Jahren gelaufen sind, ohne dass jemand ein Auskunftsersuchen gestellt hat, steht in keinem Bescheid.