Auf globaler Ebene haben die Vereinten Nationen im Dezember 2017 die Resolution 2396 des Sicherheitsrats der Vereinten Nationen verabschiedet, in der alle Mitgliedstaaten der Vereinten Nationen aufgefordert werden, Kapazitäten zur Sammlung, Verarbeitung und Analyse von PNR-Daten aufzubauen und dafür zu sorgen, dass alle ihre zuständigen nationalen Behörden diese Daten nutzen und weitergeben. Um die Mitgliedstaaten der Vereinten Nationen beim Aufbau dieser Kapazitäten zu unterstützen, leitete die Internationale Zivilluftfahrt-Organisation (ICAO) im März 2019 den Prozess zur Ausarbeitung neuer PNR-Standards ein. Diese Standards, die für alle Mitgliedsländer der ICAO verbindlich sein werden, sofern sie keine Abweichungen melden, wurden am 23. Juni 2020 vom ICAO-Rat verabschiedet. Die Kommission hat sich als Beobachterin in Vertretung der EU aktiv an diesem Prozess beteiligt, um die Vereinbarkeit dieser Standards mit den rechtlichen Anforderungen der EU zu gewährleisten, damit sie dazu beitragen können, die Übermittlung von PNR-Daten zu erleichtern.

Im Jahr 2016 modernisierte die EU zudem ihre Gesetzgebung zum Schutz personenbezogener Daten im Wege der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) und der Richtlinie (EU) 2016/680 (Richtlinie zum Datenschutz bei der Strafverfolgung). Am 24. Juni 2020 nahm die Kommission eine Mitteilung über das weitere Vorgehen hinsichtlich der Angleichung des früheren Besitzstands des dritten Pfeilers an die Datenschutzvorschriften an und veröffentlichte die Ergebnisse der ersten Überprüfung und Bewertung der Datenschutz-Grundverordnung.

Auf EU-Ebene war die Annahme der PNR-Richtlinie im April 2016 ein wichtiger Meilenstein der EU-internen Politik in Sachen Fluggastdaten. Wie bereits dargelegt, wird durch die Richtlinie ein harmonisierter Rahmen für die Verarbeitung der von den Fluggesellschaften an die Mitgliedstaaten übermittelten PNR-Daten festgelegt. Die Kommission hat die Mitgliedstaaten durch die Koordinierung regelmäßiger Zusammenkünfte, die Förderung des Austauschs bewährter Verfahren und gegenseitiger Unterstützung und durch die Bereitstellung finanzieller Hilfen bei der Umsetzung der Richtlinie unterstützt. Insbesondere hat die Haushaltsbehörde im Unionshaushalt 2017 insgesamt 70 Millionen EUR für das Instrument für die finanzielle Unterstützung der polizeilichen Zusammenarbeit, der Kriminalprävention und Kriminalitätsbekämpfung und des Krisenmanagements (ISF-P) und speziell für PNR-spezifische Maßnahmen bereitgestellt. Die Kommission hat zudem vier PNR-bezogene Projekte im Rahmen der im Wege dieses Instruments durchgeführten EU-Maßnahmen finanziert. Diese Projekte zielten darauf ab, dass die PNR-Zentralstellen der Mitgliedstaaten die erforderlichen Fähigkeiten entwickeln können, um Fluggastdaten oder die Ergebnisse der Verarbeitung solcher Daten untereinander und mit Europol auszutauschen.

Auf Antrag des Europäischen Parlaments gab der Gerichtshof der Europäischen Union am 26. Juli 2017 ein Gutachten ab, in dem er erklärte, dass das geplante Abkommen mit Kanada nicht in der beabsichtigten Form geschlossen werden kann, da einige seiner Bestimmungen nicht den Anforderungen aus der Charta der Grundrechte entsprechen. Um den Bedenken des Gerichtshofs gerecht zu werden, nahmen die EU und Kanada neue Verhandlungen über das Abkommen auf. Diese Verhandlungen wurden auf technischer Ebene im März 2019 abgeschlossen. Der Abschluss des Abkommens steht derzeit noch unter dem Vorbehalt der rechtlichen Überprüfung und der politischen Billigung des Wortlauts durch Kanada. Darüber hinaus ermächtigte der Rat die Kommission am 18. Februar 2020 zur Aufnahme von Verhandlungen mit Japan über den Abschluss eines Abkommens über die Übermittlung von PNR-Daten. Die Verhandlungen mit Mexiko, die im Juli 2015 aufgenommen worden waren, ruhen zurzeit.

Bei der Vorbereitung der Überprüfung hat die Kommission aus einer Vielzahl von Quellen und im Wege gezielter Konsultationen Informationen und Rückmeldungen gesammelt. Dazu gehören die Ergebnisse der Bewertung der Einhaltung der PNR-Richtlinie auf der Grundlage einer Analyse der nationalen Umsetzungsmaßnahmen, der Diskussionen mit nationalen Behörden, die mit der Umsetzung der Richtlinie betraut sind, und mit der Reisebranche im Rahmen regelmäßiger Zusammenkünfte und spezieller Workshops, der statistischen Daten, die von den Mitgliedstaaten gemäß Artikel 20 der Richtlinie zur Verfügung gestellt wurden, und von Besuchen in sechs Mitgliedstaaten. Um zu veranschaulichen, wie PNR-Daten in der Praxis zur Bekämpfung von Terrorismus und schwerer Kriminalität verwendet werden, bezieht sich der Bericht, soweit möglich, auf praktische Beispiele, die die nationalen Behörden auf der Grundlage ihrer operativen Erfahrungen genannt haben.

Mit diesem Bericht kommt die Kommission ihrer Verpflichtung aus Artikel 19 der PNR-Richtlinie nach, bis zum 25. Mai 2020 alle Elemente der Richtlinie zu überprüfen und diesen Bericht dem Europäischen Parlament und dem Rat vorzulegen. In dem Bericht wird die PNR-Richtlinie in ihren allgemeinen Kontext gestellt, und es werden die Ergebnisse der von der Kommission durchgeführten Überprüfung ihrer Anwendung zwei Jahre nach Ablauf der Umsetzungsfrist vorgestellt. Nach Maßgabe von Artikel 19 der Richtlinie umfasst die Überprüfung alle Elemente der Richtlinie, wobei insbesondere die Einhaltung der einschlägigen Schutzstandards bezüglich personenbezogener Daten, die Erforderlichkeit und Verhältnismäßigkeit der Erhebung und Verarbeitung von PNR-Daten für jeden der in dieser Richtlinie genannten Zwecke, die Datenspeicherungsfristen, die Effektivität des Informationsaustauschs zwischen den Mitgliedstaaten und die Qualität der Prüfungen, einschließlich in Bezug auf die nach Maßgabe von Artikel 20 erhobenen statistischen Daten, berücksichtigt werden.Außerdem umfasst die Überprüfung eine vorläufige Analyse der Erforderlichkeit, Verhältnismäßigkeit und Wirksamkeit der Ausweitung der obligatorischen Erhebung von PNR-Daten auf EU-Flüge sowie der Notwendigkeit der Aufnahme von Wirtschaftsteilnehmern, die keine Beförderungsunternehmen sind, in den Anwendungsbereich dieser Richtlinie. Darüber hinaus werden in diesem Bericht die wichtigsten Probleme und Herausforderungen bei der Umsetzung und praktischen Anwendung der Richtlinie beschrieben.

Die Richtlinie (EU) 2016/681 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität (im Folgenden „PNR-Richtlinie“) wurde am 27. April 2016 vom Europäischen Parlament und vom Rat verabschiedet. Die Richtlinie regelt die Erhebung, Verarbeitung und Speicherung von PNR-Daten in der Europäischen Union und enthält wichtige Garantien für den Schutz der Grundrechte, insbesondere des Rechts auf Privatsphäre und auf den Schutz personenbezogener Daten. Die Mitgliedstaaten mussten die Richtlinie bis zum 25. Mai 2018 in nationales Recht umsetzen.

3.2.Einhaltung der Datenschutzstandards der Richtlinie

Die Ergebnisse der Analyse der nationalen Umsetzungsmaßnahmen deuten darauf hin, dass die Datenschutzanforderungen der PNR-Richtlinie insgesamt eingehalten werden, auch wenn einige Mitgliedstaaten es versäumt haben, sämtliche Datenschutzanforderungen in ihren nationalen Rechtsvorschriften vollständig umzusetzen. Darüber hinaus bestätigt der Blick auf ihre Anwendung, dass die nationalen Behörden gewillt sind, diese Garantien zu wahren und sie in der Praxis anzuwenden. Die Kommission wird die Verbreitung der diesbezüglich entwickelten bewährten Verfahren durch ihre regelmäßigen Treffen mit den Mitgliedstaaten und die im Rahmen der ISF-P-Unionsmaßnahmen finanzierten Projekte weiterhin fördern. Zugleich wird die Kommission als Hüterin der Verträge nicht zögern, alle ihre Befugnisse – auch die Befugnis zur Einleitung von Vertragsverletzungsverfahren – dazu nutzen, sicherzustellen, dass die Mitgliedstaaten die in der Richtlinie festgelegten Anforderungen, insbesondere in Bezug auf den Schutz personenbezogener Daten, in vollem Umfang einhalten.

Die in der Richtlinie vorgesehenen Datenschutzgarantien stellen bei korrekter Umsetzung (was bei der Mehrheit der Mitgliedstaaten der Fall ist) die Verhältnismäßigkeit der Verarbeitung von PNR-Daten sicher und zielen darauf ab, Missbrauch durch nationale Behörden oder andere Akteure zu verhindern. Durch die Zweckbindung wird sichergestellt, dass jede Datenverarbeitung ausschließlich zum Zweck der Bekämpfung von Terrorismus und schwerer Kriminalität erfolgt. Das Verbot der Erhebung und Verarbeitung von sensiblen Daten stellt eine wichtige Garantie dar, durch die verhindert wird, dass PNR-Daten in diskriminierender Weise verwendet werden. Die Tatsache, dass die Mitgliedstaaten, wie in der Richtlinie vorgesehen, Aufzeichnungen über die Verarbeitungsvorgänge führen, erhöht die Transparenz und ermöglicht eine wirksame Kontrolle der Rechtmäßigkeit der Datenverarbeitung. Datenschutzbeauftragte können die Rechtmäßigkeit der Datenverarbeitung unabhängig kontrollieren, insbesondere wenn sie nicht dem Personal der PNR-Zentralstelle angehören und nicht dem Leiter der PNR-Zentralstelle unterstellt sind. Darüber hinaus wird durch ihre Anwesenheit in den PNR-Zentralstellen sichergestellt, dass die Datenschutzaspekte bei der täglichen Arbeit dieser Stellen beachtet werden.

Auf praktischer Ebene scheint das Zusammenwirken der PNR-Zentralstellen mit ihren Datenschutzbeauftragten gut zu funktionieren, und die Funktion des Datenschutzbeauftragten wird als für die Arbeit der PNR-Zentralstellen förderlich angesehen. Die Datenschutzbeauftragten spielen eine besonders wichtige Rolle bei der Überwachung von Datenverarbeitungsvorgängen, bei der Genehmigung und Überprüfung vorab festgelegter Kriterien und bei der Beratung der Mitarbeiter der PNR-Zentralstellen in Datenschutzfragen. In den meisten Mitgliedstaaten wurden Datenschutzbeauftragte per Gesetz als Ansprechpartner für die betroffenen Personen benannt, und auch in der Praxis wird die Kontaktaufnahme mit ihnen erleichtert.

3.3.Andere Elemente der Überprüfung

Erforderlichkeit und Verhältnismäßigkeit der Erhebung und Verarbeitung von PNR-Daten

Die Überprüfung hat mehrere Elemente ergeben, an denen sich die Erforderlichkeit und Verhältnismäßigkeit der Erhebung und Verarbeitung von PNR-Daten für die Zwecke der Richtlinie festmachen lässt. In der kurzen Zeit seit dem Ablauf der Umsetzungsfrist hat sich das PNR-System im Hinblick auf die Erreichung seines Ziels, das von allgemeinem Interesse ist, nämlich den Schutz der öffentlichen Sicherheit durch die Gewährleistung der Verhütung, Aufdeckung, Untersuchung und Verfolgung von schwerer Kriminalität und Terrorismus im Raum der Union ohne Binnengrenzen, als wirksam erwiesen.

Nach Auffassung der Mitgliedstaaten haben die verschiedenen Mittel, die ihnen für die Verarbeitung von PNR-Daten zur Verfügung stehen (Echtzeitverarbeitung, reaktive und proaktive Verarbeitung), bereits spürbare Ergebnisse bei der Bekämpfung von Terrorismus und Kriminalität geliefert. Unter anderem haben die Mitgliedstaaten der Kommission qualitative Nachweise vorgelegt, die veranschaulichen, wie der Abgleich von PNR-Daten mit Datenbanken und vorab festgelegten Kriterien dazu beigetragen hat, dass potenzielle Täter von terroristischen Handlungen oder Personen, die an anderen schweren Straftaten wie Drogenhandel, Cyberkriminalität, Menschenhandel, sexuellem Missbrauch von Kindern, Kindesentführung oder Straftaten organisierter krimineller Vereinigungen beteiligt sind, ermittelt werden konnten. In einigen Fällen hat der Rückgriff auf PNR-Daten zur Festnahme von Personen geführt, die der Polizei zuvor nicht bekannt waren, oder den zuständigen Behörden die weitere Untersuchung von Fluggästen ermöglicht, die sonst nicht kontrolliert worden wären. Auch die Überprüfung von Fluggästen vor ihrem Abflug oder vor ihrer Ankunft hat einen Beitrag zur Verbrechensverhütung geleistet. Die nationalen Behörden betonen, dass diese Ergebnisse ohne die Verarbeitung von PNR-Daten, z. B. durch die ausschließliche Verwendung anderer Instrumente wie vorab übermittelter Fluggastdaten (API-Daten), nicht hätten erreicht werden können.

Gemäß der PNR-Richtlinie betrifft die Verarbeitung von PNR-Daten alle Fluggäste auf ein- und ausgehenden Drittstaatsflügen. Die Überprüfung hat ergeben, dass ein solch breiter Geltungsbereich unbedingt notwendig ist, um die Ziele der Richtlinie zu verwirklichen. Was die erhobenen Daten betrifft, so entsprechen die Kategorien in Anhang I international vereinbarten Standards, insbesondere auf Ebene der ICAO. Die nationalen Behörden haben bestätigt, dass die Möglichkeit, diese Kategorien von PNR-Daten zu erheben, dem entspricht, was zur Erreichung der verfolgten Ziele unbedingt erforderlich ist.

Hinsichtlich des Ausmaßes des Eingriffs in das Grundrecht auf Schutz der Privatsphäre und das Grundrecht auf den Schutz personenbezogener Daten sind die folgenden Überlegungen relevant: Es ist wichtig, dass die PNR-Richtlinie die Verarbeitung von sensiblen Daten strikt untersagt. PNR-Daten können zwar spezifische Informationen über das Privatleben einer Person offenbaren, doch sind diese auf einen bestimmten Aspekt des Privatlebens (nämlich auf Flugreisen) beschränkt. Zudem sieht die PNR-Richtlinie strenge Garantien vor, um das Ausmaß des Eingriffs weiter auf ein absolutes Minimum zu begrenzen und die Verhältnismäßigkeit der Verarbeitungsmethoden, die den nationalen Behörden zur Verfügung stehen, zu gewährleisten, auch im Hinblick auf die automatisierte Verarbeitung. Dank dieser Garantien werden nur die personenbezogenen Daten einer sehr begrenzten Anzahl von Fluggästen zur Weiterverarbeitung an die zuständigen Behörden übermittelt. Dies bedeutet, dass die PNR-Systeme gezielte Ergebnisse liefern, sodass sich der Eingriff in das Recht auf Privatsphäre und das Recht auf den Schutz personenbezogener Daten in Grenzen hält. PNR-Daten werden auch nicht zur individuellen Profilerstellung verwendet, sondern zur Erstellung von Risikoszenarien und anonymen Szenarien, d. h. von „abstrakten Profilen“.

Datenspeicherungsfristen

Die Speicherung der PNR-Daten sämtlicher Fluggäste für einen Zeitraum von fünf Jahren ist erforderlich, um die festgelegten Ziele zu erreichen, die darin bestehen, durch die Verhütung, Aufdeckung, Untersuchung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität für Sicherheit zu sorgen und das Leben und die Sicherheit der Menschen zu schützen.

Erstens ergibt sich die Notwendigkeit, Daten fünf Jahre lang vorzuhalten, aus dem Wesen des PNR-Systems als einem Analyseinstrument, das nicht nur auf die Identifizierung bekannter Bedrohungen, sondern auch auf die Aufdeckung unbekannter Risiken abzielt. Die in Form von PNR-Daten erfassten Reisepläne werden dazu verwendet, bestimmte Verhaltensmuster und Verbindungen zwischen bekannten und unbekannten Personen zu ermitteln. Zur Ermittlung solcher Muster und Verbindungen bedarf es definitionsgemäß der Möglichkeit einer Langzeitanalyse. Eine solche Analyse setzt einen hinreichenden Datenpool voraus, der der PNR-Zentralstelle über einen relativ langen Zeitraum zur Verfügung steht. Diese Daten können dann den zuständigen Behörden im Rahmen strafrechtlicher Ermittlungen im Einzelfall – allerdings nur auf „hinreichend begründete“ Ersuchen – übermittelt werden.

Zweitens ist die Speicherung von PNR-Daten für einen Zeitraum von fünf Jahren erforderlich, um die wirksame Untersuchung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität zu gewährleisten. Die Untersuchung und Verfolgung solcher Straftaten erfordert in der Regel monate- und oft jahrelange Arbeit. Diesbezüglich haben die Mitgliedstaaten bestätigt, dass die fünfjährige Speicherfrist aus operativer Sicht notwendig ist. Durch die Verfügbarkeit historischer Daten wird sichergestellt, dass es möglich ist, das Reiseverhalten von Personen, die beschuldigt werden, ein schweres Verbrechen begangen zu haben oder an terroristischen Handlungen beteiligt gewesen zu sein, zu prüfen, etwaige Mitreisende zu ermitteln und potenzielle Komplizen oder andere Mitglieder einer kriminellen Gruppierung sowie potenzielle Opfer zu identifizieren.

Darüber hinaus hat sich gezeigt, dass die Garantien, die in der PNR-Richtlinie in Bezug auf den Zugriff der zuständigen Behörden auf die von der PNR-Zentralstelle gespeicherten Daten und in Bezug auf die Depersonalisierung und Repersonalisierung von Daten vorgesehen sind, robust genug sind, um Missbrauch zu vermeiden.

Der Gerichtshof der Europäischen Union hat die Fristen für die Speicherung von PNR-Daten in seinem Gutachten 1/15 zum geplanten PNR-Abkommen zwischen der EU und Kanada geprüft, woraufhin die Kommission mit Kanada einen neuen Abkommensentwurf ausgehandelt hat, um den Bedenken des Gerichtshofs Rechnung zu tragen. Nach Auffassung der Kommission unterscheiden sich die tatsächlichen und die rechtlichen Umstände der PNR-Richtlinie gleichwohl von denen, die der Gerichtshof in diesem Fall geprüft hat: Insbesondere wird mit der PNR-Richtlinie eindeutig das Ziel verfolgt, in der Union und ihrem Raum ohne Binnengrenzen, in dem die Mitgliedstaaten gemeinsam für die öffentliche Sicherheit verantwortlich sind, für Sicherheit zu sorgen. Ferner betrifft die Richtlinie im Gegensatz zum Entwurf des Abkommens mit Kanada nicht die Datenübermittlung an Drittländer, sondern die Erhebung von Fluggastdaten zu Flügen in die EU und aus der EU durch die Mitgliedstaaten. In diesem Zusammenhang bedeutet der Umstand, dass es sich bei der PNR-Richtlinie um einen sekundären Rechtsakt handelt, dass ihre Anwendung der Kontrolle durch die nationalen Gerichte der Mitgliedstaaten und in letzter Instanz durch den Gerichtshof der Europäischen Union unterliegt. Des Weiteren gelten die nationalen Rechtsvorschriften zur Umsetzung der Richtlinie zum Datenschutz bei der Strafverfolgung auch für die in der PNR-Richtlinie vorgesehenen Datenverarbeitungen einschließlich etwaiger Weiterverarbeitungen durch die zuständigen Behörden.

Effektivität des Informationsaustauschs zwischen den Mitgliedstaaten

Die Zusammenarbeit und der Austausch von PNR-Daten zwischen den PNR-Zentralstellen gehören zu den wichtigsten Elementen der Richtlinie. Während der Datenaustausch zwischen den Mitgliedstaaten auf der Grundlage ordnungsgemäß begründeter Ersuchen wirksam funktioniert, ist die Möglichkeit der Übermittlung von PNR-Daten auf eigene Initiative der PNR-Zentralstelle weitaus weniger verbreitet. Die von den Mitgliedstaaten bereitgestellten Informationen lassen darauf schließen, dass Strafverfolgungsbehörden eher bereit sind, Verfahren der Zusammenarbeit auf der Grundlage klarer und präziser Vorschriften (z. B. für die Übermittlung auf Ersuchen) anzuwenden. Die allgemein gefasste, vergleichsweise unklare Formulierung der in der Richtlinie enthaltenen Bestimmung über die spontane Datenübermittlung hingegen hat zu einer gewissen Zurückhaltung in Bezug auf ihre Anwendung geführt.

Qualität der Prüfungen, einschließlich in Bezug auf die nach Maßgabe von Artikel 20 erhobenen statistischen Daten

Nach Artikel 20 der PNR-Richtlinie sind die Mitgliedstaaten verpflichtet, Statistiken mindestens über die Gesamtzahl der Fluggäste, deren PNR-Daten erhoben und ausgetauscht worden sind, sowie über die Zahl der Fluggäste, bei denen eine weitere Überprüfung für angezeigt erachtet wurde, zu erstellen. Die Analyse dieser Statistiken hat ergeben, dass nur die Daten einer sehr begrenzten Anzahl von Fluggästen zur weiteren Überprüfung an die zuständigen Behörden übermittelt werden. Die verfügbaren Statistiken zeigen, dass die PNR-Systeme insgesamt so funktionieren, dass das angestrebte Ziel, Fluggäste mit hohem Risiko zu identifizieren, ohne die Bona-fide-Reisebewegungen zu beeinträchtigen, erreicht wird.