DE Amtsblatt der Europäischen Union C 51/12

Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zu den Vorschlägen für Beschlüsse des Rates über den Abschluss und die Unterzeichnung des Abkommens zwischen Kanada und der Europäischen Union über die Übermittlung und Verarbeitung von Fluggastdatensätzen

(Der vollständige Text dieser Stellungnahme ist in englischer, französischer und deutscher Sprache auf der Internetpräsenz des EDSB unter http://www.edps.europa.eu erhältlich)

(2014/C 51/06)

I. Konsultation des EDSB

1. Am 19. Juli 2013 nahm die Europäische Kommission die Vorschläge für Beschlüsse des Rates über den Abschluss und die Unterzeichnung des Abkommens zwischen Kanada und der Europäischen Union über die Übermittlung und Verarbeitung von Fluggastdatensätzen (1) an (im Folgenden: „die Vorschläge“), die den Text des vorgeschlagenen Abkommens zwischen Kanada und der Europäischen Union enthalten (im Folgenden: „das Abkommen“). Diese Vorschläge wurden dem EDSB am 23. Juli 2013 übermittelt.

2. Der EDSB hatte auch die Möglichkeit, vor Annahme der Vorschläge Ratschläge zu erteilen. Der EDSB begrüßt die Tatsache, dass er vorab konsultiert wurde. Da diese Konsultation jedoch nach Abschluss der Verhandlungen stattgefunden hat, konnten die Beiträge des EDSB jedoch nicht berücksichtigt werden. Die vorliegende Stellungnahme baut auf den bei dieser Gelegenheit vorgetragenen Anmerkungen auf.

II. Allgemeine Bemerkungen

3. Wie bei früheren Gelegenheiten (2) bereits unterstrichen, stellt der EDSB die Notwendigkeit und Verhältnismäßigkeit von PNR-Konzepten und die Massenübertragung von PNR-Daten an Drittländer in Frage. Dies sind beides Bedingungen, die in der Charta der Grundrechte der Europäischen Union und in der Europäischen Menschenrechtskonvention für etwaige Einschränkungen von Grundrechten vorgesehen sind, wozu auch das Recht auf Schutz der Privatsphäre und das Recht auf Schutz personenbezogener Daten zählen (3). Gemäß ständiger Rechtssprechung muss nicht nur die Begründung, die von der öffentlichen Behörde zur Rechtfertigung einer derartigen Einschränkung vorgetragen wird, stichhaltig und ausreichend sein (4), sondern es muss auch nachgewiesen werden, dass keine anderen Methoden verfügbar sind, die einen geringeren Eingriff in die Rechte mit sich bringen (5). Bislang wurden dem EDSB keine überzeugenden Beweise für die Notwendigkeit und Verhältnismäßigkeit der massiven und routinemäßigen Verarbeitung von Daten unverdächtiger Passagieren zu Strafverfolgungszwecken vorgelegt.

4. Dennoch begrüßt der EDSB die in dem Abkommen gewährten Datenschutzgarantien, wenn er es auch bedauert, dass die Aufbewahrungsfrist im Vergleich zum vorhergehenden PNR-Abkommen mit Kanada verlängert wurde.

5. Der EDSB begrüßt auch die von der Kommission - trotz aller Einschränkungen, die die Art des Abkommens mit sich bringt - geleisteten Anstrengungen im Bereich der Aufsicht und den Rechtsbehelfen. Er ist jedoch besorgt über die Begrenzung der gerichtlichen Überprüfung und über die Tatsache, dass der verwaltungsrechtliche Rechtsbehelf in einigen Fällen von einer internen Behörde gewährt wird, die nicht unabhängig ist. Er stellt ferner in Frage, ob ein „executive agreement“ (Verwaltungsabkommen) dazu geeignet ist, den betroffenen Personen angemessene und effektive Rechte zu gewährleisten.

6. Das Abkommen regelt die Nutzung seitens der kanadischen zuständigen Behörde von PNR-Daten, die von EU-Fluggesellschaften oder anderen Fluggesellschaften, die Ziele außerhalb der EU anfliegen (6), übermittelt werden. Der EDSB empfiehlt, dass eine Bestätigung dafür eingeholt wird, dass keine andere kanadische Behörde direkten Zugang zu PNR-Daten hat oder PNR-Daten bei diesen Fluggesellschaften anfordern kann, wodurch das Abkommen umgangen werden würde.

IV. Schlussfolgerungen

47. Wie bei früheren Gelegenheiten bereits unterstrichen, stellt der EDSB die Notwendigkeit und Verhältnismäßigkeit von PNR-Konzepten und die Massenübertragung von PNR-Daten an Drittländer in Frage. Ferner hegt er Zweifel an der Wahl der Rechtsgrundlage und empfiehlt, dass als Rechtsgrundlage für die Vorschläge Artikel 16 AEUV in Verbindung mit Artikel 218 Absatz 5 und Artikel 218 Absatz 6 Buchstabe a AEUV verwendet wird.

48. Der EDSB ist auch besorgt über die eingeschränkte Verfügbarkeit eines unabhängigen verwaltungsrechtlichen Rechtsbehelfs und eines umfassenden gerichtlichen Rechtsbehelfs für Unionsbürger, die sich nicht in Kanada aufhalten und bringt seine Zweifel an der Angemessenheit eines „executive agreement“ zu deren Einleitung zum Ausdruck. Er empfiehlt auch, dass eine Bestätigung dahingehend eingeholt wird, dass keine andere kanadische Behörde direkten Zugang zu PNR-Daten hat oder PNR-Daten bei Fluggesellschaften, die diesem Abkommen unterliegen, anfordern kann.

49. Was die spezifischen Bestimmungen des Abkommens angeht, begrüßt der EDSB die vorgesehenen Datenschutzgarantien. Das Abkommen sollte jedoch: — die Verarbeitung sensibler Daten vollständig ausschließen; — eine Löschung oder Anonymisierung der Daten sofort nach der Analyse und spätestens 30 Tage nach deren Erhalt vorsehen und in jedem Fall sollte die vorgeschlagene Aufbewahrungsfrist, die im Vergleich zum vorangehenden PNR-Abkommen mit Kanada verlängert wurde, reduziert und begründet werden; — die Kategorien der zu verarbeitenden PNR-Daten einschränken; — ausdrücklich erwähnen, dass die Gesamtaufsicht durch eine unabhängige Behörde erfolgt.

50. Außerdem empfiehlt der EDSB, dass folgende Punkte entweder im Abkommen oder den Begleitdokumenten erwähnt werden: — weitere Einschränkung und Klärung der Konzepte, die den Zweck des Abkommens definieren; — Klärung der Art der zulässigen „rechtmäßigen“ Diskriminierung; — Einführung einer Meldepflicht im Hinblick auf Verletzungen des Schutzes personenbezogener Daten an die Europäische Kommission oder die Datenschutzbehörden; — Ergänzung der Bestimmungen zur Transparenz; — Ausdehnung des im Abkommen vorgesehenen Verbots, Entscheidungen allein auf der Grundlage der automatisierten Verarbeitung, die einen Fluggast beeinträchtigen, zu treffen; — Angabe, an welche Behörden in Kanada PNR-Daten weitergegeben werden können und Einfügung der Anforderung einer vorherigen richterlichen Genehmigung oder des Bestehens einer unmittelbaren Gefahr, wobei eine Pflicht vorgesehen werden sollte, angemessene Datenschutzgarantien in Abkommen oder Vereinbarungen mit anderen Empfängerländern oder Behörden aufzunehmen und diese der Europäische Kommission und den EU-Datenschutzbehörden zu unterbreiten; — Benennung der betreffenden Behörden und Festlegung abschreckender Sanktionen bei Verstößen gegen die Bestimmungen des Abkommens; — Angabe, welche Mechanismen Personen, die nicht in Kanada ansässig sind, zur Verfügung stehen, um gemäß kanadischem Recht eine gerichtliche Überprüfung einzuleiten; — Klärung, ob das Recht auf eine gerichtliche Überprüfung auch ausgeübt werden kann, wenn die betreffende Entscheidung oder Handlung der betreffenden Person nicht mitgeteilt wurde, insbesondere wenn andere Bestimmungen des Abkommens verletzt werden als diejenigen, die im Zusammenhang mit dem Recht auf Auskunft und Berichtigung bzw. Anbringung eines Bestreitungsvermerks verletzt werden; — Angabe, auf welche „andere Wiedergutmachung, wozu auch Schadenersatzzahlungen gehören können“, Artikel 14 Absatz 2 Bezug nimmt; — Angabe der Häufigkeit der Überprüfungen der Durchführung des Abkommens und deren Inhalte (wozu auch die Bewertung der Notwendigkeit und Verhältnismäßigkeit zählen sollte) sowie explizite Aufnahme der EU-Datenschutzbehörden in das EU-Überprüfungsteam.

Geschehen zu Brüssel am 30. September 2013. Peter HUSTINX Europäischer Datenschutzbeauftragter

(1) COM(2013) 529 final.

(2) Vgl. Stellungnahme des EDSB vom 9. Dezember 2011 über den Vorschlag für einen Beschluss des Rates über den Abschluss des Abkommens zwischen der Europäischen Union und den Vereinigten Staaten von Amerika über die Verarbeitung von Fluggastdatensätzen (Passenger Name Records — PNR) und deren Übermittlung durch die Fluggesellschaften an das United States Department of Homeland Security (DHS), ABl. C 35, 9.2.2012, S. 16; Stellungnahme vom 15. Juli 2011 zu einem Vorschlag für einen Beschluss des Rates über den Abschluss eines Abkommens zwischen der Europäischen Union und Australien über die Verarbeitung von Fluggastdatensätzen (Passenger Name Records — PNR) aus der Europäischen Union und deren Übermittlung durch die Fluggesellschaften an die australische Zollbehörde, ABl. C 322, 23.12.2011, S. 1; Stellungnahme des EDSB vom 25. März 2011 zum Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über die Verwendung von Fluggastdatensätzen zu Zwecken der Verhütung, Aufdeckung, Aufklärung und strafrechtlichen Verfolgung von terroristischen Straftaten und schwerer Kriminalität; Stellungnahme vom 19. Oktober 2010 über das sektorübergreifende Konzept für die Übermittlung von Fluggastdatensätzen (PNR) an Drittländer; Stellungnahme vom 20. Dezember 2007 zu einem Vorschlag für einen Rahmenbeschluss des Rates über die Verwendung von Fluggastdatensätzen (PNR-Daten) zu Strafverfolgungszwecken, ABl. C 110, 1.5.2008, S. 1; Stellungnahme vom 15. Juni 2005 zum Vorschlag für einen Beschluss des Rates zum Abschluss eines Abkommens zwischen der Europäischen Gemeinschaft und der Regierung Kanadas über die Verarbeitung von erweiterten Fluggastdaten und Fluggastdatensätzen, ABl. C 218, 6.9.2005, S. 6 (alle abrufbar unter http://www.edps.europa.eu/EDPSWEB/edps/cache/bypass/Consultation/OpinionsC). Siehe auch die Stellungnahmen der Artikel 29-Datenschutzgruppe zu PNR-Daten, abrufbar unter http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/index_en.htm#data_transfers

(3) Siehe Artikel 7, 8 und 52 Absatz 1 der Charta der Grundrechte der Europäischen Union (ABl. C 83, 30.3.2010, S. 389) und Artikel 8 der Konvention zum Schutz der Menschenrechte und Grundfreiheiten (SEV Nr. 5) Europarat, 4.11.1950.

(4) Siehe Urteil des Europäischen Gerichtshofs für Menschenrechte vom 4. Dezember 2008, S. und Marper gegen das Vereinigte Königreich.

(5) Siehe Urteil des Europäischen Gerichtshofs für Menschenrechte vom 9. November 2010, C-92/09, Volker und Markus Schecke GbR gegen Land Hessen und C-93/09, Eifert gegen Land Hessen und Bundesanstalt für Landwirtschaft und Ernährung.

(6) Siehe Begründung der Vorschläge und Artikel 3 Absatz 1 des Abkommens.