Um die Kohärenz mit den Vorschriften des Vorschlags für eine Verordnung über die Erhebung und Vorabübermittlung von Fluggastdaten (API-Daten) zur Erleichterung der Kontrollen an den Außengrenzen zu gewährleisten und im Sinne einer effizienten Übermittlung der API-Daten, sieht der vorliegende Vorschlag vor, die Fluggesellschaften dazu zu verpflichten, den gleichen API-Datensatz zu erheben und an den gleichen, im Rahmen der anderen vorgeschlagenen Verordnung festgelegten Router zu übermitteln.

Nach der Übermittlung der API-Daten an die gemäß der PNR-Richtlinie eingerichteten Zentralstellen für Fluggastdaten gelten für die anschließende Verarbeitung der API-Daten durch die Zentralstellen für Fluggastdaten – abgesehen von den in der vorgeschlagenen Verordnung enthaltenen begrenzten diesbezüglichen Anforderungen – die Bestimmungen der PNR-Richtlinie. Wie bereits erwähnt, ermöglicht die PNR-Richtlinie die gemeinsame Verarbeitung von API- und PNR-Daten, da die Definition von PNR-Daten „etwaige erhobene erweiterte Fluggastdaten (API-Daten)“ umfasst, also auch die API-Daten, die die Zentralstellen für Fluggastdaten gemäß der vorgeschlagenen Verordnung empfangen. Daher gelten die Bestimmungen von Artikel 6 und Artikel 9ff der PNR-Richtlinie, die sich u. a. auf die genauen Zwecke der Verarbeitung, die Speicherfristen, die Löschung, den Informationsaustausch, die Übermittlung durch die Mitgliedstaaten an Drittstaaten und spezifische Bestimmungen über den Schutz dieser personenbezogenen Daten beziehen.

Sofern es mögliche Überschneidungen zwischen der vorgeschlagenen Verordnung und den Vorschriften der PNR-Richtlinie gibt, zumal – wie bereits erwähnt – die Definition von „PNR-Daten“ in der Richtlinie „etwaige erhobene erweiterte Fluggastdaten (API-Daten)“ umfasst, haben die Vorschriften der vorgeschlagenen Verordnung Vorrang, da es sich sowohl um lex specialis als auch um lex posterior handelt. Während die Mitgliedstaaten gemäß der PNR-Richtlinie die erforderlichen Maßnahmen ergreifen müssen, um sicherzustellen, dass die Fluggesellschaften PNR-Daten übermitteln, soweit sie diese Daten bereits im Rahmen ihrer normalen Geschäftstätigkeit erhoben haben, verpflichtet die vorgeschlagene Verordnung die Fluggesellschaften, in gewissen Situationen API-Daten zu erheben und diese Daten auf bestimmte Weise zu übermitteln. Die vorgeschlagene Verordnung ergänzt daher die PNR-Richtlinie, da sie sicherstellt, dass in allen Fällen, in denen die zuständigen Strafverfolgungsbehörden – d. h. die Zentralstellen für Fluggastdaten – PNR-Daten im Rahmen der PNR-Richtlinie empfangen, die Fluggesellschaften auch zur Erhebung von API-Daten und zur Übermittlung an diese zuständigen Behörden verpflichtet sind.

Die vorgeschlagenen Vorschriften für die Erhebung und Übermittlung von API-Daten zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität stehen im Einklang mit den geltenden Vorschriften für die Verarbeitung von PNR-Daten, wie sie in der PNR-Richtlinie festgelegt sind. Sie stützen sich auf die Auslegungen des Gerichtshofs der Europäischen Union in seiner jüngsten Rechtsprechung, insbesondere die darin bezüglich der Verarbeitung von PNR-Daten zu EU-Flügen präzisierten Auslegungen, wonach die Übermittlung von PNR-Daten an die zuständigen Behörden der Mitgliedstaaten bei EU-Flügen selektiv und nicht systematisch erfolgen muss, es sei denn, dies ist durch eine reale und aktuelle oder vorhersehbare terroristische Bedrohung gerechtfertigt.

Die vorgeschlagene Verordnung zielt daher darauf ab, wirksamere Vorschriften für die Erhebung und Übermittlung von API-Daten durch Fluggesellschaften zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität festzulegen. Um die Einhaltung der in der Charta der Grundrechte der Europäischen Union (im Folgenden „Charta“) verankerten einschlägigen Grundrechte, insbesondere des Rechts auf Privatsphäre und auf Schutz personenbezogener Daten, und der sich daraus ergebenden Anforderungen an die Notwendigkeit und Verhältnismäßigkeit zu gewährleisten, ist der Vorschlag, wie weiter unten erläutert, in seinem Anwendungsbereich sorgfältig begrenzt und enthält strenge Beschränkungen und Schutzvorkehrungen für den Schutz personenbezogener Daten.

Um diese Lücke zu schließen, wurde in der Strategie der Kommission vom Juni 2021 für einen reibungslos funktionierenden und resilienten Schengen-Raum eine verstärkte Verwendung von API-Daten in Kombination mit PNR-Daten für Flüge innerhalb des Schengen-Raums gefordert, um die innere Sicherheit im Einklang mit dem Grundrecht auf Schutz personenbezogener Daten und dem Grundrecht auf Freizügigkeit erheblich zu verbessern.

Wie aus dem Bericht der Kommission über die Überprüfung der PNR-Richtlinie hervorgeht, kann durch die gemeinsame Verarbeitung von API- und PNR-Daten durch die zuständigen Strafverfolgungsbehörden – d. h. die Fluggesellschaften werden verpflichtet, neben den PNR-Daten, die sie für ihre normalen Geschäftszwecke erheben und die sie an die zuständigen Strafverfolgungsbehörden übermitteln, auch API-Daten zu erheben und zu übermitteln – die Wirksamkeit der Bekämpfung schwerer Straftaten und Terrorismus in der EU erheblich erhöht werden. Die kombinierte Verwendung von API- und PNR-Daten ermöglicht es den zuständigen nationalen Behörden, die Identität von Fluggästen zu bestätigen, was die Zuverlässigkeit der PNR-Daten erheblich verbessert. Eine solche kombinierte Verwendung vor Ankunft der Fluggäste ermöglicht es den Strafverfolgungsbehörden außerdem, eine Überprüfung vorzunehmen und nur diejenigen Personen im Einklang mit dem geltenden Recht genauer zu kontrollieren, von denen unter Berücksichtigung objektiver Prüfkriterien und ‑verfahren am ehesten eine Gefahr für die Sicherheit ausgeht. Das erleichtert das Reisen für alle anderen Fluggäste und verringert das Risiko, dass Fluggäste bei ihrer Ankunft von den zuständigen Behörden aufgrund eines Ermessensspielraums bei Faktoren wie Rasse oder ethnischer Herkunft, die fälschlicherweise von den Strafverfolgungsbehörden mit Sicherheitsrisiken in Verbindung gebracht werden können, überprüft werden.

Seit der Annahme der API-Richtlinie im Jahr 2004 besteht weltweit ein Konsens darüber, dass API-Daten nicht nur ein Schlüsselinstrument für das Grenzmanagement, sondern auch ein wichtiges Instrument für Strafverfolgungszwecke sind, insbesondere zur Bekämpfung von schwerer Kriminalität und Terrorismus. So wurde auf internationaler Ebene seit 2014 in den Resolutionen des Sicherheitsrates der Vereinten Nationen wiederholt die Einrichtung und weltweite Einführung von API- und PNR-Systemen für Strafverfolgungszwecke gefordert. Darüber hinaus bestätigt die Verpflichtungserklärung der teilnehmenden Staaten der Organisation für Sicherheit und Zusammenarbeit in Europa (OSZE) zur Einrichtung von API-Systemen die Bedeutung der Verwendung dieser Daten für die Bekämpfung von Terrorismus und grenzüberschreitender Kriminalität.

Nur wenn eine entsprechende Verpflichtung dazu besteht, werden API-Daten von der Fluggesellschaft während der Abfertigung des Fluggastes (bei der Online-Abfertigung und am Flughafen) erhoben. Anschließend werden diese den zuständigen Grenzbehörden als vollständige „Fluggastdatenliste“ übermittelt, die Daten zu allen Fluggästen enthält, die sich beim Abflug an Bord des Flugzeugs befinden. Während API-Daten als „verifizierte“ Informationen gelten, da sie sich auf Reisende beziehen, die schließlich das Luftfahrzeug bestiegen haben, und sie auch von den Strafverfolgungsbehörden zur Identifizierung von Verdächtigen und gesuchten Personen verwendet werden können, handelt es sich bei den PNR-Daten um „unverifizierte“ Informationen, die von den Fluggästen bereitgestellt werden. Die PNR-Daten eines bestimmten Fluggastes enthalten in der Regel nicht alle möglichen PNR-Elemente, sondern nur diejenigen, die vom Fluggast bereitgestellt werden und/oder für die Buchung und damit für den normalen Geschäftszweck der Fluggesellschaft erforderlich sind.

Die Daten von Flugreisenden umfassen vorab übermittelte Fluggastdaten (API) und Fluggastdatensätze (PNR-Daten), die in Kombination besonders wirksam sind, um Reisende, die ein hohes Risiko darstellen, zu identifizieren und Reisemuster verdächtiger Personen zu erkennen. Wenn ein Fluggast einen Flugschein bei einer Fluggesellschaft erwirbt, generiert diese über ihr Buchungssystem einen Fluggastdatensatz für ihre Geschäftszwecke. Dieser umfasst Daten zur kompletten Reiseroute, Zahlungsangaben, Kontaktdaten und Sonderwünsche des Fluggastes. Wenn eine entsprechende Verpflichtung besteht, werden diese PNR-Daten an die Zentralstelle für Fluggastdaten des Bestimmungslandes und oftmals des Abfluglandes übermittelt.

In den letzten zehn Jahren war in der EU und in anderen Teilen der Welt eine Zunahme der schweren und organisierten Kriminalität zu verzeichnen. Gemäß der von Europol vorgenommenen Bewertung der Bedrohungslage im Bereich der schweren und organisierten Kriminalität in der Europäischen Union ist die organisierte Kriminalität in den meisten Fällen mit Reisen in andere Länder verbunden, in der Regel mit dem Ziel, Menschen in die EU einzuschleusen oder Drogen oder sonstige illegale Waren in die EU zu schmuggeln. Dabei nutzen Kriminelle häufig die großen Flughäfen der EU sowie kleinere Regionalflughäfen, auf denen Billigfluggesellschaften tätig sind. Ebenso zeigt der von Europol vorgelegte Tendenz- und Lagebericht über den Terrorismus in der EU, dass es nach wie vor eine reale und ernst zu nehmende Terrorgefahr in der EU gibt, wobei darauf hingewiesen wird, dass die meisten terroristischen Vorhaben grenzübergreifender Natur sind und entweder länderübergreifende Kontakte oder Reisen in Drittstaaten beinhalten. Vor diesem Hintergrund sind Informationen über Flugreisende ein wichtiges Instrument für die Strafverfolgungsbehörden bei der Bekämpfung von schwerer Kriminalität und Terrorismus in der EU.

Die vorgeschlagene Maßnahme ist eine Verordnung. In Anbetracht dessen, dass die vorgeschlagenen Maßnahmen unmittelbar gelten und in allen Mitgliedstaaten einheitlich angewendet werden müssen, ist eine Verordnung das geeignete Rechtsinstrument.

Um die Notwendigkeit und Verhältnismäßigkeit der Datenverarbeitung im Rahmen der vorgeschlagenen Verordnung und insbesondere im Hinblick auf die Erhebung und Übermittlung von API-Daten zu EU-Flügen zu gewährleisten, empfangen die Mitgliedstaaten API-Daten nur für diejenigen EU-Flüge, die sie im Einklang mit der oben genannten Rechtsprechung des EuGH ausgewählt haben. Darüber hinaus wird die Weiterverarbeitung von API-Daten durch die Zentralstellen für Fluggastdaten den in der PNR-Richtlinie festgelegten Beschränkungen und Schutzvorkehrungen unterliegen, wie sie vom EuGH in der Rechtssache Ligue des droits humains in Anlehnung an die Charta ausgelegt wurden.

Um den Eingriff in die Fahrgastrechte auf das absolut Notwendige zu beschränken, ist in dem Vorschlag eine Reihe von Schutzvorkehrungen festgelegt. Konkret ist die Verarbeitung von API-Daten im Rahmen der vorgeschlagenen Verordnung auf eine in sich geschlossene und begrenzte Liste von API-Daten beschränkt. Darüber hinaus dürfen keine weiteren Identitätsdaten erhoben werden. Außerdem sieht die vorgeschlagene Verordnung nur Vorschriften für die Erhebung und Übermittlung von API-Daten über den Router an die Zentralstellen für Fluggastdaten für die darin festgelegten begrenzten Zwecke vor und regelt nicht die Weiterverarbeitung von API-Daten durch diese Zentralstellen, da diese, wie oben erläutert, unter andere EU-Rechtsakte (PNR-Richtlinie, Datenschutzrecht, Charta) fällt. Die Funktionen des Routers und insbesondere die Möglichkeit, damit umfassende statistische Informationen zu sammeln und bereitzustellen, unterstützen zudem das Monitoring der Durchführung dieser Verordnung seitens der Fluggesellschaften und Zentralstellen für Fluggastdaten. Ferner sind bestimmte spezifische Schutzvorkehrungen vorgesehen, z. B. Vorschriften über die Protokollierung, den Schutz personenbezogener Daten und die Sicherheit.

Der Anwendungsbereich des Vorschlags ist auf das unbedingt erforderliche Maß, nämlich die Elemente, die einen harmonisierten EU-Ansatz erfordern, beschränkt, d. h. auf die Zwecke, für die die Zentralstellen für Fluggastdaten API-Daten verwenden können, auf die zu erhebenden Datenelemente und auf die Mittel für die Erhebung und Übermittlung der API-Daten von Reisenden. Durch die Übermittlung der API-Daten an den Router verringert sich der Aufwand für die Fluggesellschaften, Anbindungen an die Zentralstellen für Fluggastdaten aufrechtzuerhalten, und es entstehen Skaleneffekte, während gleichzeitig die Möglichkeiten für Fehler und Missbrauch verringert werden. Der Zweck umfasst nur terroristische Straftaten und schwere Kriminalität im Sinne des Vorschlags, da diese schwerwiegend sind und eine grenzüberschreitende Dimension haben.

Gemäß dem in Artikel 5 Absatz 4 EUV verankerten Grundsatz der Verhältnismäßigkeit müssen Art und Ausmaß einer Maßnahme auf das festgestellte Problem abgestimmt sein. Alle in dieser Gesetzgebungsinitiative angesprochenen Probleme erfordern in irgendeiner Form legislative Maßnahmen auf Unionsebene, um es den Mitgliedstaaten zu ermöglichen, diesen Problemen wirksam zu begegnen.

Da die Ziele dieses Vorschlags auf Ebene der Mitgliedstaaten nicht ausreichend verwirklicht werden können und somit besser auf Unionsebene zu erreichen sind, ist die EU nicht nur berechtigt zu handeln, sondern auch besser dazu in der Lage als die unabhängig voneinander agierenden Mitgliedstaaten. Der Vorschlag steht daher mit dem in Artikel 5 des Vertrags über die Europäische Union niedergelegten Subsidiaritätsprinzip im Einklang.

Mit dem Tätigwerden auf EU-Ebene kann die Anwendung harmonisierter Bestimmungen zum Schutz der Grundrechte, insbesondere des Schutzes personenbezogener Daten, in den Mitgliedstaaten sichergestellt werden. Für die Fluggesellschaften könnten die verschiedenen Systeme der Mitgliedstaaten, die bereits ähnliche Mechanismen geschaffen oder die Einführung solcher Maßnahmen geplant haben, mit negativen Auswirkungen verbunden sein, da die Fluggesellschaften unterschiedlichen nationalen Anforderungen nachkommen müssten, zum Beispiel in Bezug auf die Art der zu übermittelnden Informationen und die Voraussetzungen für die Übermittlung dieser Informationen an die Mitgliedstaaten. Diese Unterschiede sind auch einer wirksamen Zusammenarbeit zwischen den Mitgliedstaaten bei der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität abträglich. Die harmonisierten Vorschriften können nur auf EU-Ebene festgelegt werden.

In einem Raum ohne Kontrollen an den Binnengrenzen sind die Erhebung, die Verarbeitung und der Austausch von Fluggastdaten, einschließlich PNR- und API-Daten, durch die Mitgliedstaaten auch wirksame Ausgleichsmaßnahmen. Durch ein kohärentes Handeln auf EU-Ebene wird der Vorschlag dazu beitragen, die Sicherheit der Mitgliedstaaten und damit der gesamten EU zu erhöhen.

Den Strafverfolgungsbehörden müssen wirksame Instrumente zur Bekämpfung von Terrorismus und schwerer Kriminalität an die Hand gegeben werden. Da die meisten schweren Straftaten und Terroranschläge mit Reisen in andere Länder einhergehen, hat sich die Verwendung von PNR-Daten zum Schutz der inneren Sicherheit der EU als sehr effizient erwiesen. Außerdem sind die zuständigen Behörden der Mitgliedstaaten bei ihren Ermittlungen zu Zwecken der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten oder schwerer Kriminalität maßgeblich auf die internationale und grenzübergreifende Zusammenarbeit angewiesen.

Die Erhebung von API-Daten aus Reisedokumenten steht auch im Einklang mit den ICAO-Leitlinien zu maschinenlesbaren Reisedokumenten, die in die Verordnung (EU) 2019/1157 zur Erhöhung der Sicherheit von Personalausweisen von Unionsbürgern, der Richtlinie 2019/997 des Rates über EU-Rückkehrausweise und der Verordnung 2252/2004 über Normen für Sicherheitsmerkmale und biometrische Daten in Pässen übernommen wurden. Diese Verordnungen bilden die Grundlage für die automatisierte Extraktion vollständiger und hochwertiger Daten aus Reisedokumenten.

Diese Initiative sieht die Verarbeitung personenbezogener Daten von Reisenden vor und schränkt daher die Ausübung des in Artikel 8 der Charta und Artikel 16 AEUV verankerten Grundrechts auf den Schutz personenbezogener Daten ein. Wie der Gerichtshof der Europäischen Union (EuGH) hervorhob, kann das Recht auf den Schutz personenbezogener Daten keine uneingeschränkte Geltung beanspruchen, sondern muss im Hinblick auf seine gesellschaftliche Funktion gesehen werden und jede Einschränkung den in Artikel 52 Absatz 1 der Charta festgelegten Kriterien entsprechen. Der Schutz personenbezogener Daten steht auch in engem Zusammenhang mit der Achtung des Rechts auf Privatsphäre als Teil des durch Artikel 7 der Charta geschützten Rechts auf Achtung des Privat- und Familienlebens.

Auf der Grundlage der Ergebnisse der Folgenabschätzung besteht die bevorzugte Option für ein API-Instrument zu Strafverfolgungszwecken darin, API-Daten zu allen Flügen in die und aus der EU zu erheben, sowie zu ausgewählten EU-Flügen, für die PNR-Daten übermittelt werden. Dadurch wird die erforderliche Analyse relevanter Daten über Flugreisende bei der Bekämpfung von schwerer Kriminalität und Terrorismus deutlich verbessert, da die Zentralstellen für Fluggastdaten für die Identifizierung von Personen, die in schwere Kriminalität oder Terrorismus verwickelt sind, von der Verfügbarkeit verifizierter und damit qualitativ besserer API-Daten profitieren. Die Erhebung und Übermittlung von API-Daten zu Strafverfolgungszwecken baut auf den Kapazitäten auf, die für die Übermittlung von API-Daten über den Router für das Außengrenzenmanagement entwickelt wurden, ohne dass dabei zusätzliche Kosten für eu-LISA entstehen. Die Fluggesellschaften übermitteln API-Daten nur an den Router, der diese Daten dann an die Zentralstelle für Fluggastdaten des jeweiligen betroffenen Mitgliedstaats weiterleitet. Die Folgenabschätzung kam zu dem Schluss, dass dies eine kosteneffiziente Lösung für die Fluggesellschaften ist, weil sich dadurch ihre Übertragungskosten verringern und gleichzeitig die Möglichkeiten für Fehler und Missbrauch einschränkt werden. Was sich für die Fluggesellschaften jedoch im Vergleich zur derzeitigen Situation ändert, ist, dass sie nach der vorgeschlagenen Verordnung API-Daten für alle betroffenen Flüge – unabhängig von ihrem normalen Bedarf für Geschäftszwecke – erheben und übermitteln müssen, darunter auch für EU-Flüge. Der Vorschlag steht im Einklang mit dem im Europäischen Klimagesetz festgelegten Ziel der Klimaneutralität und den Zielen der Union für 2030 und 2040.

Angesichts der in Bezug auf die Erhebung und Übermittlung von API-Daten festgestellten Probleme wurden in der Folgenabschätzung politische Optionen zum Anwendungsbereich der Erhebung von API-Daten für das Außengrenzenmanagement und zu Strafverfolgungszwecken sowie Optionen zu den Mitteln einer Verbesserung der Qualität der API-Daten bewertet. In Bezug auf die Erhebung von API-Daten zu Strafverfolgungszwecken wurde in der Folgenabschätzung einerseits die Erhebung von API-Daten zu allen Drittstaatsflügen in Erwägung gezogen sowie andererseits die Erhebung von API-Daten zu allen Drittstaatsflügen und ausgewählten EU-Flügen. Darüber hinaus wurden in der Folgenabschätzung auch Optionen zur Verbesserung der Qualität der API-Daten geprüft – entweder die Erhebung von API-Daten mit automatisierten und manuellen Mitteln oder die Erhebung von API-Daten ausschließlich mit automatisierten Mitteln.

Die Kommission führte im Einklang mit den Leitlinien für eine bessere Rechtsetzung, wie in der beigefügten Arbeitsunterlage der Kommissionsdienststellen dargelegt, eine Folgenabschätzung durch [Verweis]. Der Ausschuss für Regulierungskontrolle prüfte den Entwurf der Folgenabschätzung in seiner Sitzung vom 28. September 2022 und gab am 30. September 2022 seine befürwortende Stellungnahme ab.

–Ferner werden in der API-Richtlinie keine Hinweise darauf gegeben, für welche Flüge API-Daten angefordert werden können, an welche Behörde API-Daten übermittelt werden sollten oder welche Bedingungen für den Zugriff auf solche Daten zu Strafverfolgungszwecken gelten.

–Dass API-Datensätze zu Strafverfolgungszwecken von den Fluggesellschaften angefordert werden können, schafft zusätzlich zu der Praxis einiger Mitgliedstaaten, API-Daten anzufordern, die über die nicht erschöpfende Liste in der API-Richtlinie hinausgehen, weitere Hürden für die Fluggesellschaften, die unterschiedlichen Anforderungen bei der Beförderung von Fluggästen in die EU zu erfüllen.

Die API-Richtlinie steht der Verarbeitung von API-Daten zu Strafverfolgungszwecken gemäß den nationalen Rechtsvorschriften und vorbehaltlich der Anforderungen an den Schutz personenbezogener Daten nicht entgegen. Problematisch ist jedoch die Umsetzung dieser Möglichkeit in den Mitgliedstaaten, wie aus der Bewertung der API-Richtlinie hervorgeht, weil Sicherheitslücken auftreten, da es keine von der EU festgelegten Kriterien für die Erhebung und Übermittlung von API-Daten zu Strafverfolgungszwecken gibt:

Kapitel 4 enthält ferner Vorschriften über die Anbindungen und die Anpassung an den Router aufseiten der Zentralstellen für Fluggastdaten und Fluggesellschaften sowie über die den Mitgliedstaaten dadurch entstehenden Kosten. Es enthält auch Bestimmungen zur Regelung des Falles, dass die Verwendung des Routers technisch teilweise oder gänzlich nicht möglich ist, und zur Haftung für am Router verursachte Schäden.

Kapitel 2 enthält die Bestimmungen für die Erhebung von API-Daten, ihre Übermittlung an den Router und ihre Löschung durch die Fluggesellschaften sowie Vorschriften für die Übermittlung von API-Daten vom Router an die Zentralstellen für Fluggastdaten.

Die Kommission wird sicherstellen, dass die notwendigen Vorkehrungen getroffen werden, um das Funktionieren der vorgeschlagenen Maßnahmen zu überwachen und sie anhand der wichtigsten politischen Ziele zu bewerten. Es ist vorgesehen, dass die Kommission vier Jahre nach dem Beginn der Maßnahmen im Rahmen der vorgeschlagenen Verordnung und danach alle vier Jahre dem Europäischen Parlament und dem Rat einen Bericht vorlegt, in dem sie die Durchführung der Verordnung und ihren Mehrwert bewertet. In dem Bericht wird auch auf etwaige direkte oder indirekte Auswirkungen auf die Grundrechte eingegangen werden. Darin werden die Ergebnisse an den Zielen gemessen, und es wird beurteilt, ob die grundlegenden Prinzipien weiterhin Gültigkeit haben; außerdem werden etwaige Schlussfolgerungen für künftige Optionen gezogen.

Da zwischen dieser vorgeschlagenen Verordnung und der vorgeschlagenen Verordnung über die Erhebung und Vorabübermittlung von Fluggastdaten (API-Daten) zur Erleichterung der Kontrollen an den Außengrenzen ein enger Zusammenhang besteht, insbesondere hinsichtlich der Übermittlung von API-Daten an den Router, bezieht sich der Finanzbogen im Anhang zu diesem Verordnungsvorschlag auf beide Vorschläge.

Was eu-LISA betrifft, wird davon ausgegangen, dass zusätzliche Mittel in Höhe von rund 45 Mio. EUR (33 Mio. EUR im Rahmen des derzeitigen MFR) für die Einrichtung des Routers und ab 2029 von 9 Mio. EUR pro Jahr für dessen technische Verwaltung bereitgestellt werden müssen sowie rund 27 zusätzliche Stellen erforderlich sind, damit eu-LISA über die nötigen Ressourcen verfügt, um die ihr in dieser vorgeschlagenen Verordnung und in der vorgeschlagenen Verordnung über die Erhebung und Vorabübermittlung von Fluggastdaten (API-Daten) zur Erleichterung der Kontrollen an den Außengrenzen übertragenen Aufgaben zu erfüllen.

Die Verpflichtung für Fluggesellschaften, automatisierte Mittel zur Erhebung von bestimmten API-Daten von Reisenden zu nutzen, kann Risiken mit sich bringen, unter anderem unter dem Gesichtspunkt des Schutzes personenbezogener Daten. Diese Risiken wurden jedoch begrenzt und abgemildert. Erstens gilt diese Anforderung nur für bestimmte API-Daten, bei denen automatisierte Mittel, beispielsweise für die maschinenlesbaren Daten in den Reisedokumenten der Reisenden, verantwortungsvoll verwendet werden können. Zweitens enthält die vorgeschlagene Verordnung Anforderungen an die zu verwendenden automatisierten Mittel, die in einem delegierten Rechtsakt weiter ausgearbeitet werden sollen. Nicht zuletzt sind verschiedene Schutzvorkehrungen vorgesehen, wie z. B. eine Protokollierung, spezifische Vorschriften für den Schutz personenbezogener Daten und eine wirksame Überwachung.

Diese Verordnung sieht vor, dass die Erhebung und Übermittlung von API-Daten nur zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität im Sinne der PNR-Richtlinie erfolgt. Die Bestimmungen dieses Vorschlags enthalten einheitliche Kriterien für die Erhebung und Übermittlung von API-Daten für (ankommende und abgehende) Drittstaatsflüge einerseits und ausgewählte EU-Flüge andererseits, die auf einer von den Mitgliedstaaten durchgeführten Bewertung beruhen und einer regelmäßigen Überprüfung, im Einklang mit den im Urteil in der Rechtssache Ligue des droits humains vom Gerichtshof festgelegten Anforderungen, unterliegen. Die Verpflichtung der Fluggesellschaften, API-Daten zu erheben und an den Router zu übermitteln, gilt für alle EU-Flüge. Die Übermittlung durch den Router an die Zentralstellen für Fluggastdaten stellt eine technische Lösung dar, mit der die Übermittlung von API-Daten an die Zentralstellen für Fluggastdaten auf ausgewählte Flüge beschränkt wird, ohne vertrauliche Informationen darüber offenzulegen, welche EU-Flüge ausgewählt wurden. Diese Informationen sind vertraulich zu behandeln; würden sie der Öffentlichkeit oder insbesondere Personen, die an schweren Straftaten oder terroristischen Aktivitäten beteiligt sind, bekannt werden, bestünde die Gefahr, dass diese Flüge umgangen werden.

In Bezug auf die Erhebung und Übermittlung von API-Daten für ausgewählte EU-Flüge betrifft diese Initiative auch die Ausübung des in Artikel 45 der Charta und Artikel 21 AEUV verankerten Grundrechts auf Freizügigkeit. Dem EuGH zufolge kann eine Behinderung des Rechts auf Personenfreizügigkeit nur dann gerechtfertigt werden, wenn sie auf objektiven Erwägungen beruht und in einem angemessenen Verhältnis zu dem Zweck steht, der mit den nationalen Rechtsvorschriften zulässigerweise verfolgt wird.

(8)Da die Richtlinie (EU) 2016/681 nicht für Inlandsflüge gilt, d. h. für Flüge, die im Hoheitsgebiet ein und desselben Mitgliedstaats ohne Zwischenlandung in einem anderen Mitgliedstaat oder einem Drittstaat starten und landen, und angesichts der länderübergreifenden Dimension terroristischer Straftaten und der schweren Kriminalität, auf die sich diese Verordnung bezieht, sollten diese Flüge auch von deren Regelungsbereich ausgenommen sein. Diese Verordnung sollte allerdings nicht so verstanden werden, dass sie die Mitgliedstaaten in deren Möglichkeiten einschränkte, nach Maßgabe der nationalen Rechtsvorschriften und des Unionsrechts die Fluggesellschaften dazu zu verpflichten, API-Daten für solche Inlandsflüge zu erheben und zu übermitteln.

(6)Durch die Erhebung und Übermittlung von API-Daten wird in die Privatsphäre natürlicher Personen eingegriffen, und es müssen personenbezogene Daten verarbeitet werden. Damit die Grundrechte, insbesondere das Recht auf Achtung des Privatlebens und das Recht auf den Schutz personenbezogener Daten nach der Charta der Grundrechte der Europäischen Union (im Folgenden „Charta“), in vollem Umfang geachtet werden, sollten geeignete Einschränkungen und Schutzvorkehrungen vorgesehen werden. Vor allem sollte die Verarbeitung von API-Daten, insbesondere wenn es sich um personenbezogene Daten handelt, immer auf den für die Zielsetzung dieser Verordnung erforderlichen und verhältnismäßigen Umfang beschränkt bleiben. Darüber hinaus sollte sichergestellt werden, dass die gemäß dieser Verordnung erhobenen und übermittelten API-Daten zu keiner unzulässigen Form der Diskriminierung im Sinne der Charta führen.

(5)Angesichts des engen Zusammenhangs zwischen den beiden Rechtsakten sollte diese Verordnung so verstanden werden, dass sie die Vorschriften der Richtlinie (EU) 2016/681 ergänzt. Somit sind die besonderen Anforderungen dieser Verordnung maßgeblich für die Erhebung und Übermittlung der API-Daten, einschließlich der Angabe, in welchen Situationen und auf welche Art dies zu erfolgen hat. Jedoch gelten die Vorschriften der Richtlinie für Angelegenheiten, die nicht in dieser Verordnung geregelt sind, insbesondere die Vorschriften für die anschließende Verarbeitung der API-Daten, die die PIUs empfangen haben, den Informationsaustausch zwischen den Mitgliedstaaten, die Bedingungen für den Zugang der Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung (Europol), die Übermittlung an Drittländer, die Speicherung und Depersonalisierung sowie den Schutz personenbezogener Daten. Sofern diese Vorschriften anwendbar sind, gelten ebenfalls die Vorschriften der Richtlinie für Sanktionen und die nationalen Aufsichtsbehörden. Diese Verordnung sollte diese Vorschriften unberührt lassen.

(3)Die Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates enthält Vorschriften für die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität. Nach dieser Richtlinie müssen die Mitgliedstaaten die erforderlichen Maßnahmen treffen, um sicherzustellen, dass die Fluggesellschaften die PNR-Daten einschließlich etwaiger API-Daten der nationalen PNR-Zentralstelle (im Folgenden „PIU“) übermitteln, die nach Maßgabe dieser Richtlinie eingerichtet wurde, soweit sie solche Daten im Rahmen ihrer normalen Geschäftstätigkeit bereits erhoben haben. Folglich garantiert die Richtlinie die Erhebung und Übermittlung von API-Daten nicht in allen Fällen, da Fluggesellschaften für die Geschäftszwecke solche vollständigen Datensätze nicht zu erheben brauchen. Es ist wichtig, dass die PIUs die API-Daten zusammen mit den PNR-Daten empfangen, da nur durch die gemeinsame Verarbeitung dieser Daten die zuständigen Strafverfolgungsbehörden der Mitgliedstaaten in die Lage versetzt werden, terroristische Straftaten und schwere Kriminalität wirksam verhüten, aufdecken, untersuchen und verfolgen zu können. Insbesondere können durch die gemeinsame Datenverarbeitung die Fluggäste genau identifiziert werden, die von diesen Behörden möglicherweise nach geltendem Recht weiter überprüft werden sollten. Außerdem ist in dieser Richtlinie nicht im Einzelnen festgelegt, welche Informationen die API-Daten umfassen. Aus diesen Gründen sollten ergänzende Vorschriften erlassen werden, um die Fluggesellschaften zu verpflichten, einen genau definierten Satz API-Daten zu erheben und anschließend zu übermitteln; diese Anforderungen sollten gelten, wenn die Fluggesellschaften nach der genannten Richtlinie verpflichtet sind, zu demselben Flug PNR-Daten zu erheben und zu übermitteln.

(2)Die Richtlinie 2004/82/EG des Rates schafft einen Rechtsrahmen für die Erhebung und Übermittlung von API-Daten durch die Fluggesellschaften mit dem Ziel, die Grenzkontrollen zu verbessern und die illegale Einwanderung zu bekämpfen, gestattet den Mitgliedstaaten jedoch auch, API-Daten zu Strafverfolgungszwecken zu verwenden. Durch die bloße Eröffnung dieser Möglichkeit entstehen allerdings einige Regelungslücken. Denn daraus folgt, dass nicht in allen Fällen von den Fluggesellschaften API-Daten für die Strafverfolgung erhoben und übermittelt werden, so wichtig sie dafür auch sein mögen. Auch gelten in dem Fall, dass die Mitgliedstaaten von dieser Möglichkeit Gebrauch machen, für die Fluggesellschaften nach dem jeweils geltenden nationalen Recht unterschiedliche Anforderungen in Bezug auf den Zeitpunkt und die Art der Erhebung und Übermittlung der API-Daten zu diesem Zweck. Diese Unterschiede bedeuten nicht nur für die Fluggesellschaften unnötige Kosten und Komplikationen, sondern beeinträchtigen auch die innere Sicherheit der Union und die wirksame Zusammenarbeit zwischen den jeweils zuständigen Strafverfolgungsbehörden der Mitgliedstaaten. Darüber hinaus werden mit der Erleichterung der Grenzkontrollen und der Strafverfolgung sehr unterschiedliche Ziele verfolgt, und es wäre sinnvoll, für jedes einen eigenen Rechtsrahmen für die Erhebung und Übermittlung von API-Daten zu schaffen.

(1)Die länderübergreifende Dimension der schweren und organisierten Kriminalität und die anhaltende Bedrohung durch Terroranschläge auf europäischem Boden erfordern geeignete Maßnahmen auf Unionsebene, mit denen die Sicherheit in einem Raum der Freiheit, der Sicherheit und des Rechts ohne Binnengrenzen gewährleistet wird. Informationen über Flugreisende wie Fluggastdatensätze (Passenger Name Records – PNR) und insbesondere vorab übermittelte Fluggastdaten (Advance Passenger Information – API) sind unverzichtbar, wenn es darum geht, mit einem hohen Risiko behaftete Reisende, und zwar auch solche, die den Strafverfolgungsbehörden nicht anderweitig bekannt sind, zu identifizieren, Verbindungen zwischen den Mitgliedern krimineller Gruppen herzustellen und Terrorakte abzuwehren.

(9)Angesichts des engen Zusammenhangs zwischen den betreffenden Rechtsakten der Union und im Interesse der Einheitlichkeit und Kohärenz sollten die Begriffsbestimmungen dieser Verordnung so weit wie möglich an die Begriffsbestimmungen der Richtlinie (EU) 2016/681 und der Verordnung (EU) [API Grenzmanagement] angepasst und entsprechend ausgelegt und angewandt werden.

(10)Insbesondere sollten die Angaben, die zusammen die gemäß dieser Verordnung zu erhebenden und zu übermittelnden API-Daten bilden, denjenigen entsprechen, die in der Verordnung (EU) [API Grenzmanagement] klar und erschöpfend aufgeführt sind und sowohl Informationen über jeden Fluggast als auch Angaben über den Flug dieses Reisenden umfassen. Gemäß dieser Verordnung sollten diese Fluginformationen Angaben zu der Grenzübergangsstelle der Einreise in das Hoheitsgebiet des betreffenden Mitgliedstaats nur dann umfassen, wenn sich die API-Daten nicht auf EU-Flüge beziehen.

(11)Um ein möglichst einheitliches Vorgehen bei der Erhebung und Übermittlung von API-Daten durch die Fluggesellschaften zu gewährleisten, sollten die Vorschriften dieser Verordnung gegebenenfalls an diejenigen der Verordnung (EU) [API Grenzmanagement] angepasst werden. Das betrifft insbesondere die Vorschriften für die Datenqualität, die Verwendung automatisierter Verfahren für die Datenerhebung durch die Fluggesellschaften, die genaue Art und Weise, in der die Fluggesellschaften die API-Daten an den Router übermitteln müssen, und die Löschung der API-Daten.

(12)Damit die gemeinsame Verarbeitung von API- und PNR-Daten sichergestellt wird – mit dem Ziel, Terrorismus und schwere Kriminalität in der Union wirksam zu bekämpfen und gleichzeitig die Eingriffe in die durch die Charta geschützten Grundrechte der Fluggäste auf ein Mindestmaß zu begrenzen –, sollten die zuständigen Behörden in den Mitgliedstaaten als PIUs fungieren und die gemäß dieser Verordnung erhobenen und übermittelten API-Daten empfangen, verarbeiten und schützen. Aus Gründen der Effizienz und zur Minimierung der Sicherheitsrisiken sollte der Router, der von der Agentur der Europäischen Union für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts (eu-LISA) gemäß der Verordnung (EU) [API Grenzmanagement] konzipiert, entwickelt, gehostet und technisch gewartet wird, den jeweils zuständigen PIUs die API-Daten weiterleiten, die von den Fluggesellschaften im Rahmen dieser Verordnung erhoben und an den Router übermittelt werden. Da API-Daten, die personenbezogene Daten darstellen, besonders geschützt werden müssen und ihre Vertraulichkeit gewahrt werden muss, sollten sie in einem automatisierten Verfahren vom Router an die zuständigen PIUs übermittelt werden.

(13)Bei Drittstaatsflügen sollte der Router die API-Daten für alle Flüge der PIU des Mitgliedstaats übermitteln, in dessen Hoheitsgebiet der Flug ankommt oder startet, da gemäß der Richtlinie (EU) 2016/681 die PNR-Daten für all diese Flüge erhoben werden. Der Router sollte den Flug und die entsprechenden PIUs anhand der Informationen im PNR-Buchungscode identifizieren, einem Datenelement, das sowohl in den API- als auch in den PNR-Datensätzen enthalten ist und die gemeinsame Verarbeitung der API- und PNR-Daten durch die PIUs ermöglicht.

(14)Bei den EU-Flügen gilt es nach der Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH) stärker zu differenzieren, damit unrechtmäßige Eingriffe in die durch die Charta geschützten Grundrechte vermieden werden und die Vereinbarkeit mit der im Unionsrecht vorgesehenen Freizügigkeit und der Abschaffung der Kontrollen an den Binnengrenzen gewährleistet wird. Da sichergestellt werden muss, dass die API-Daten zusammen mit den PNR-Daten verarbeitet werden können, sollten die Vorschriften für die Auswahl der Flüge den Bestimmungen der Richtlinie (EU) 2016/681 entsprechen. Aus diesen Gründen sollten die API-Daten zu diesen Flügen nur dann vom Router an die zuständigen PIUs übermittelt werden, wenn die Mitgliedstaaten die betreffenden Flüge in Anwendung von Artikel 2 der Richtlinie (EU) 2016/681 ausgewählt haben. Auswahl bedeutet, wie der EuGH ausführt, dass die Mitgliedstaaten ihren Verpflichtungen zielgerichtet nur in Bezug auf bestimmte Flugverbindungen, Reisemuster oder Flughäfen nachkommen und diese Auswahl regelmäßig überprüfen.

(15)Das Auswahlprinzip sollte im Rahmen dieser Verordnung auf EU-Flüge angewendet werden können, und so sollten die Mitgliedstaaten verpflichtet werden, Listen der von ihnen ausgewählten Flüge zu erstellen und der Agentur eu-LISA vorzulegen, damit diese dafür sorgen kann, dass nur für diese Flüge API-Daten vom Router an die betreffenden PIUs übermittelt werden und die API-Daten zu anderen EU-Flügen sofort dauerhaft gelöscht werden.

(16)Damit die Wirksamkeit des Systems, das auf der Erhebung und Übermittlung von API-Daten gemäß dieser Verordnung und von PNR-Daten im Rahmen des mit der Richtlinie (EU) 2016/681 eingerichteten Systems beruht, für die Verhütung, Aufdeckung, Untersuchung und Verfolgung terroristischer Straftaten und schwerer Kriminalität nicht insbesondere dadurch gefährdet wird, dass die Umgehung der Maßnahmen ermöglicht wird, sollte die Angabe, welche EU-Flüge von den Mitgliedstaaten ausgewählt werden, vertraulich behandelt werden. Weil diese Informationen deshalb nicht an die Fluggesellschaften weitergegeben werden sollten, sollten diese dazu verpflichtet werden, die API-Daten zu allen unter diese Verordnung fallenden Flügen einschließlich aller EU-Flüge zu erheben und an den Router weiterzuleiten; dort sollte schließlich die erforderliche Auswahl getroffen werden. Wenn zu allen EU-Flügen API-Daten erhoben werden, erfahren außerdem die Fluggäste nicht, für welche Flüge entsprechend der Einschätzung der Mitgliedstaaten die API-Daten und damit auch die PNR-Daten an die PIUs übermittelt werden. Dadurch wird auch gewährleistet, dass Änderungen dieser Auswahl rasch und wirksam umgesetzt werden können, ohne dass den Fluggesellschaften unangemessene wirtschaftliche und betriebliche Belastungen entstünden.

(17)Im Interesse der Achtung des Grundrechts auf den Schutz personenbezogener Daten und entsprechend der Verordnung (EU) [API Grenzmanagement] sollten in der vorliegenden Verordnung die Verantwortlichen bestimmt werden. Damit eine effektive Kontrolle stattfinden kann, die personenbezogenen Daten ausreichend geschützt und die Sicherheitsrisiken möglichst klein gehalten werden, sollten auch Vorschriften für die Protokollierung, die Sicherheit der Datenverarbeitung und die Selbstkontrolle gelten. Soweit sich diese Bestimmungen auf die Verarbeitung personenbezogener Daten beziehen, sollten sie als Ergänzung zu den allgemein geltenden Rechtsakten der Union über den Schutz personenbezogener Daten verstanden werden, insbesondere der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates und der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates. Diese Rechtsakte, die entsprechend den Bestimmungen der vorliegenden Verordnung auch für die Verarbeitung personenbezogener Daten im Rahmen der vorliegenden Verordnung gelten, sollten von ihr nicht berührt werden.

(18)Der Router, der gemäß der Verordnung (EU) [API Grenzmanagement] einzurichten und zu betreiben ist, sollte so konzipiert sein, dass für die Übermittlung der API-Daten weniger und einfachere technische Anbindungen nötig sind; diese sollten sich auf eine Anbindung je Fluggesellschaft und PIU beschränken. Deshalb erlegt diese Verordnung den PIUs und den Fluggesellschaften die Verpflichtung auf, eine solche Anbindung an den Router einzurichten und die erforderliche Anpassung daran vorzunehmen, damit das mit dieser Verordnung eingerichtete System zur Übermittlung von API-Daten ordnungsgemäß funktionieren kann.

(19)Angesichts des großen Interesses der Union sollten die Kosten, die den Mitgliedstaaten in Verbindung mit ihrer Anbindung und Anpassung an den Router gemäß dieser Verordnung entstehen, nach Maßgabe des anwendbaren Rechts und vorbehaltlich bestimmter Ausnahmen in angemessener Höhe vom Unionshaushalt getragen werden. Auf Ausnahmen entfallende Kosten sollte der betroffene Mitgliedstaat selbst tragen.

(20)Gemäß der Verordnung (EU) 2018/1726 können die Mitgliedstaaten eu-LISA mit der Aufgabe betrauen, die Konnektivität mit den Fluggesellschaften zu erleichtern, um die Mitgliedstaaten bei der Umsetzung der Richtlinie (EU) 2016/681 zu unterstützen, insbesondere was die Erhebung und Übermittlung der PNR-Daten über den Router angeht.

(21)Es ist nicht auszuschließen, dass der Router oder die Systeme oder die Infrastruktur, mit denen die PIUs und die Fluggesellschaften an den Router angebunden werden, aufgrund außergewöhnlicher Umstände und trotz aller angemessenen Maßnahmen, die gemäß dieser Verordnung und – in Bezug auf den Router – der Verordnung (EU) [API Grenzmanagement] ergriffen wurden, nicht ordnungsgemäß funktionieren und es dadurch technisch unmöglich wird, den Router für die Übermittlung der API-Daten zu verwenden. Wenn der Router nicht zur Verfügung steht und es den Fluggesellschaften somit nach vernünftigem Ermessen unmöglich ist, die vom Ausfall betroffenen API-Daten rechtmäßig, sicher, effektiv und rasch auf andere Weise zu übermitteln, sollte die Verpflichtung der Fluggesellschaften zur Übermittlung dieser API-Daten an den Router ausgesetzt werden, solange die Übermittlung technisch unmöglich ist. Um die Dauer und die negativen Folgen möglichst gering zu halten, sollten die betroffenen Parteien in einem solchen Fall sofort einander in Kenntnis setzen und die erforderlichen Maßnahmen ergreifen, um die technische Störung zu beheben. Von dieser Regelung sollten die in dieser Verordnung verankerten Verpflichtungen aller betroffenen Parteien, für den ordnungsgemäßen Betrieb des Routers und ihrer jeweiligen Systeme und Infrastruktur zu sorgen, unberührt bleiben, ebenso die Tatsache, dass gegen die Fluggesellschaften Sanktionen verhängt werden können, wenn sie diesen Verpflichtungen nicht nachkommen, und zwar auch dann, wenn sie sich in ungerechtfertigter Weise auf diese Regelung berufen. Zur Vorbeugung von Missbrauch und zur Erleichterung der Aufsicht und erforderlichenfalls der Verhängung von Sanktionen sollten die Fluggesellschaften der zuständigen Aufsichtsbehörde melden, wenn sie sich aufgrund eines Ausfalls ihres eigenen Systems oder ihrer eigenen Infrastruktur auf diese Regelung berufen.

(22)Um sicherzustellen, dass die Fluggesellschaften die Vorschriften dieser Verordnung auch befolgen, sollten Vorkehrungen für die Benennung und Ermächtigung der mit der Aufsicht über diese Vorschriften zu betrauenden nationalen Behörden getroffen werden. Die Vorschriften dieser Verordnung für eine solche Aufsicht, einschließlich gegebenenfalls der Verhängung von Sanktionen, sollten die Aufgaben und Befugnisse der nach Maßgabe der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2016/680 eingerichteten Aufsichtsbehörden unberührt lassen, auch in Bezug auf die Verarbeitung personenbezogener Daten nach der vorliegenden Verordnung.

(23)Die Mitgliedstaaten sollten wirksame, verhältnismäßige und abschreckende Sanktionen einschließlich Geldbußen für den Fall vorsehen, dass Fluggesellschaften ihren Verpflichtungen im Zusammenhang mit der Erhebung und Übermittlung von API-Daten gemäß dieser Verordnung nicht nachkommen.

(24)Damit die Kommission Vorgaben für die technischen Anforderungen und Betriebsvorschriften für die automatisierte Erhebung maschinenlesbarer API-Daten, die gemeinsamen Protokolle und Formate für die Übermittlung der API-Daten durch die Fluggesellschaften, die technischen und verfahrenstechnischen Vorschriften für die Übermittlung der API-Daten vom Router an die PIUs und die Anbindung und Anpassung der PIUs und der Fluggesellschaften an den Router machen kann, sollte ihr in Bezug auf die Artikel 4, 5, 10 bzw. 11 die Befugnis übertragen werden, gemäß Artikel 290 des Vertrags über die Arbeitsweise der Europäischen Union Rechtsakte zu erlassen. Es ist von besonderer Bedeutung, dass die Kommission im Zuge ihrer Vorbereitungsarbeit angemessene Konsultationen, auch auf der Ebene von Sachverständigen, durchführt, die mit den in der Interinstitutionellen Vereinbarung vom 13. April 2016 über bessere Rechtsetzung niedergelegten Grundsätzen vereinbar sind. Um insbesondere für eine gleichberechtigte Beteiligung an der Vorbereitung delegierter Rechtsakte zu sorgen, erhalten das Europäische Parlament und der Rat alle Dokumente zur gleichen Zeit wie die Sachverständigen der Mitgliedstaaten, und ihre Sachverständigen haben systematisch Zugang zu den Sitzungen der Sachverständigengruppen der Kommission, die mit der Vorbereitung der delegierten Rechtsakte befasst sind.

(25)Allen interessierten Parteien, insbesondere den Fluggesellschaften und den PIUs, sollte ausreichend Zeit eingeräumt werden, damit sie die notwendigen Vorbereitungen treffen können, um ihren jeweiligen Verpflichtungen aus dieser Verordnung nachkommen zu können; dabei ist zu berücksichtigen, dass diese Vorbereitungen, etwa in Bezug auf die Verpflichtung zur Anbindung und Anpassung an den Router, teilweise erst abgeschlossen werden können, wenn die Planungs- und Entwicklungsphasen des Routers beendet sind und er in Betrieb genommen wird. Deshalb sollte die vorliegende Verordnung erst nach einer angemessenen Frist nach der von der Kommission in der Verordnung (EU) [API Grenzmanagement] festgelegten Inbetriebnahme des Routers gelten. Die Kommission sollte jedoch bereits zu einem früheren Zeitpunkt delegierte Rechtsakte nach der vorliegenden Verordnung erlassen können, um sicherzustellen, dass das in deren Rahmen eingerichtete System so bald wie möglich betriebsbereit ist.

(26)Die Ziele dieser Verordnung, nämlich zur Verhütung, Aufdeckung, Untersuchung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität beizutragen, lassen sich von den Mitgliedstaaten allein nicht in ausreichendem Maß erreichen, sondern können besser auf Unionsebene verwirklicht werden, da es angesichts der länderübergreifenden Dimension der betreffenden Straftaten einer grenzüberschreitenden Zusammenarbeit bedarf, wenn wirksam dagegen vorgegangen werden soll. Die Union kann daher im Einklang mit dem in Artikel 5 des Vertrags über die Europäische Union niedergelegten Subsidiaritätsprinzip tätig werden. Entsprechend dem in demselben Artikel genannten Grundsatz der Verhältnismäßigkeit geht diese Verordnung nicht über das für die Verwirklichung dieses Ziels erforderliche Maß hinaus.

(27)Nach den Artikeln 1 und 2 des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls Nr. 22 über die Position Dänemarks beteiligt sich Dänemark nicht an der Annahme dieser Verordnung, die daher weder für Dänemark bindend noch Dänemark gegenüber anwendbar ist.

(28)[Nach Artikel 3 des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls Nr. 21 über die Position des Vereinigten Königreichs und Irlands hinsichtlich des Raums der Freiheit, der Sicherheit und des Rechts hat Irland mitgeteilt, dass es sich an der Annahme und Anwendung dieser Verordnung beteiligen möchte.] ODER [Nach den Artikeln 1 und 2 des dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union beigefügten Protokolls Nr. 21 über die Position des Vereinigten Königreichs und Irlands hinsichtlich des Raums der Freiheit, der Sicherheit und des Rechts und unbeschadet des Artikels 4 dieses Protokolls beteiligt sich Irland nicht an der Annahme dieser Verordnung, die daher weder für Irland bindend noch Irland gegenüber anwendbar ist.]