SCHLUSSANTRÄGE DES GENERALANWALTS

GIOVANNI PITRUZZELLA

vom 27. Januar 2022 ( 1 )

Rechtssache C‑817/19

Ligue des droits humains

gegen

Ministerrat

(Vorabentscheidungsersuchen der Cour constitutionnelle [Verfassungsgerichtshof, Belgien])

„Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verarbeitung von Fluggastdatensätzen (PNR-Daten) – Verordnung (EU) 2016/679 – Anwendungsbereich – Richtlinie (EU) 2016/681 – Gültigkeit – Charta der Grundrechte der Europäischen Union – Art. 7, 8 und 52 Abs. 1“

Inhaltsverzeichnis

I. Einleitung II. Rechtlicher Rahmen A. Unionsrecht 1. Charta 2. DSGVO 3. PNR-Richtlinie 4. Weitere einschlägige Rechtsakte der Union B. Belgisches Recht C. Ausgangsrechtsstreit, Vorlagefragen und Verfahren vor dem Gerichtshof III. Würdigung A. Zur ersten Vorlagefrage B. Zur zweiten, zur dritten, zur vierten, zur sechsten und zur achten Vorlagefrage 1. Zu den in den Art. 7 und 8 der Charta niedergelegten Grundrechten 2. Zum Eingriff in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte 3. Zur Rechtfertigung des sich aus der PNR-Richtlinie ergebenden Eingriffs a) Zur Einhaltung des Erfordernisses, wonach jede Einschränkung der Ausübung eines in der Charta vorgesehenen Grundrechts gesetzlich vorgesehen sein muss b) Zur Achtung des Wesensgehalts der in den Art. 7 und 8 der Charta niedergelegten Rechte c) Zur Einhaltung des Erfordernisses, wonach der Eingriff einer dem Gemeinwohl dienenden Zielsetzung entsprechen muss d) Zur Wahrung des Grundsatzes der Verhältnismäßigkeit 1) Zur Eignung der in der PNR-Richtlinie vorgesehenen Verarbeitungen von PNR-Daten für die Verwirklichung des verfolgten Ziels 2) Zur absoluten Notwendigkeit des Eingriffs i) Zur Abgrenzung der Zwecke der Verarbeitung von PNR-Daten ii) Zu den Kategorien von PNR-Daten, auf die sich die PNR-Richtlinie bezieht (zweite und dritte Vorlagefrage) – Zur hinreichenden Klarheit und Präzision von Anhang I Nrn. 12 und 18 (dritte Vorlagefrage) – Zum Umfang der in Anhang I aufgeführten Daten (zweite Vorlagefrage) – Zu den sensiblen Daten iii) Zum Begriff „Fluggast“ (vierte Vorlagefrage) iv) Zu der Frage, ob die Vorabüberprüfung von Fluggästen hinreichend klar und präzise und auf das absolut Notwendige beschränkt ist (sechste Vorlagefrage) – Zum Abgleich mit Datenbanken im Sinne von Art. 6 Abs. 3 Buchst. a der PNR-Richtlinie – Zum Abgleich der PNR-Daten anhand im Voraus festgelegter Kriterien – Zu den Garantien, die mit der automatisierten Verarbeitung von PNR-Daten einhergehen – Ergebnis zur sechsten Vorlagefrage v) Zur Aufbewahrung von PNR-Daten (achte Vorlagefrage) 4. Ergebnisse zur zweiten, zur dritten, zur vierten, zur sechsten und zur achten Vorlagefrage C. Zur fünften Vorlagefrage D. Zur siebten Vorlagefrage E. Zur neunten Vorlagefrage F. Zur zehnten Vorlagefrage IV. Ergebnis

I. Einleitung

1. Mit dem vorliegenden Vorabentscheidungsersuchen legt der Verfassungsgerichtshof (Belgien) dem Gerichtshof eine Reihe von zehn Fragen nach der Auslegung der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: DSGVO) ( 2 ) sowie nach der Gültigkeit und Auslegung der Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom 27. April 2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität (im Folgenden: PNR-Richtlinie) ( 3 ) und der Richtlinie 2004/82/EG des Rates vom 29. April 2004 über die Verpflichtung von Beförderungsunternehmen, Angaben über die beförderten Personen zu übermitteln (im Folgenden: API-Richtlinie) ( 4 ), zur Vorabentscheidung vor. Diese Fragen sind im Rahmen einer von der gemeinnützigen Vereinigung Ligue des droits humains (LDH) erhobenen Klage auf vollständige oder teilweise Nichtigerklärung des Gesetzes vom 25. Dezember 2016 über die Verarbeitung von Passagierdaten (im Folgenden: PNR-Gesetz) ( 5 ) aufgeworfen worden, mit dem die PNR-Richtlinie und die API-Richtlinie in belgisches Recht umgesetzt werden.

2. Die Fragen, über die der Gerichtshof in der vorliegenden Rechtssache zu entscheiden haben wird, fügen sich in den Rahmen eines der Hauptdilemmata des zeitgenössischen liberal-demokratischen Konstitutionalismus ein: Wie ist das Verhältnis zwischen Individuum und Gemeinwesen im Zeitalter der Daten zu bestimmen, in dem digitale Technologien die Erhebung, Vorratsspeicherung, Verarbeitung und Auswertung großer Mengen personenbezogener Daten für prädiktive Zwecke ermöglicht haben? Algorithmen, die Analyse von Big Data und künstliche Intelligenz, von denen staatliche Stellen Gebrauch machen, können dazu dienen, die Grundinteressen der Gesellschaft mit einer Effizienz zu fördern und zu schützen, die früher unvorstellbar war: Vom Schutz der öffentlichen Gesundheit zur ökologischen Nachhaltigkeit, von der Bekämpfung des Terrorismus zur Vorbeugung von Kriminalität, insbesondere schwerer Kriminalität. Gleichzeitig können die unterschiedslose Erhebung personenbezogener Daten und die Nutzung digitaler Technologien durch die öffentliche Gewalt ein digitales Panoptikum schaffen, d. h. eine Staatsmacht, die alles sieht, ohne gesehen zu werden. Eine allwissende Macht, die das Verhalten des Einzelnen kontrollieren und vorhersehen und die gebotenen Maßnahmen ergreifen kann – bis zu dem von Steven Spielberg im Film Minority Report erdachten paradoxen Ergebnis, dem Täter eines Delikts, das noch nicht begangen worden ist, vorbeugend die Freiheit zu entziehen. Wie man weiß, hat die Gesellschaft in bestimmten Ländern Vorrang vor dem Individuum und ermöglicht die Verwendung personenbezogener Daten die rechtmäßige Durchführung einer wirksamen Massenüberwachung, mit der die als grundlegend angesehenen öffentlichen Interessen geschützt werden sollen. Umgekehrt stellt der europäische – nationale und supranationale – Konstitutionalismus mit der zentralen Stellung, die dem Individuum und seinen Freiheiten eingeräumt wird, eine große Hürde für den Aufbau einer Gesellschaft der Massenüberwachung dar, vor allem nach der Anerkennung der Grundrechte auf Schutz des Privatlebens und auf Schutz personenbezogener Daten. In welchem Ausmaß kann diese Hürde jedoch errichtet werden, ohne bestimmte Grundinteressen der Gesellschaft – wie etwa die vorstehend beispielhaft angeführten Interessen –, die durchaus verfassungsrechtliche Bezüge haben können, ernsthaft zu beeinträchtigen? Das ist der Kern der Frage nach dem Verhältnis zwischen Individuum und Gemeinwesen in der digitalen Gesellschaft. Eine Frage, die zum einen die Suche nach der heiklen Balance zwischen den Interessen des Gemeinwesens und den Rechten des Einzelnen – wobei von der absoluten Bedeutung ausgegangen wird, die diese im europäischen Verfassungserbe haben – sowie deren Umsetzung und zum anderen das Treffen von Vorkehrungen gegen Missbrauch erforderlich macht. Auch hier befinden wir uns im Bereich der zeitgenössischen Version eines klassischen Themas des Konstitutionalismus, da Menschen, wie Le Fédéraliste lapidar festgestellt hat, keine Engel sind und es deshalb rechtlicher Mechanismen bedarf, um die öffentliche Gewalt zu begrenzen und zu kontrollieren.

3. Das sind die Fragen allgemeiner Natur, die sich in den Kontext der vorliegenden Schlussanträge einfügen, wobei sich diese auf die Auslegung des Unionsrechts im Licht der früheren Rechtsprechung des Gerichtshofs unter Verwendung etablierter Techniken beschränken müssen, zu denen die Technik der unionsrechtskonformen Auslegung gehört. Eine Technik, auf die in den vorliegenden Schlussanträgen oft zurückgegriffen werden soll, wenn das rechtlich möglich erscheint – mit dem Ziel, die aus verfassungsrechtlicher Sicht notwendige Balance zwischen den öffentlichen Zwecken, die dem System für die Übermittlung, Erhebung und Verarbeitung von Fluggastdatensätzen (im Folgenden: PNR-Daten) zugrunde liegen, und den in den Art. 7 und 8 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) niedergelegten Rechte zu finden.

II. Rechtlicher Rahmen

A. Unionsrecht

1. Charta

4. Art. 7 der Charta lautet: „Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation.“

5. In Art. 8 der Charta heißt es: „(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten. (2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken. (3) Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht.“

6. Gemäß Art. 52 Abs. 1 der Charta muss „[j]ede Einschränkung der Ausübung der in dieser Charta anerkannten Rechte und Freiheiten … gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten. Unter Wahrung des Grundsatzes der Verhältnismäßigkeit dürfen Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen“.

2. DSGVO

7. Art. 2 Abs. 2 Buchst. d der DSGVO schließt die Verarbeitung personenbezogener Daten „durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“ vom Anwendungsbereich dieser Verordnung aus.

8. In Art. 23 Abs. 1 Buchst. d der DSGVO heißt es: „Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 und Artikel 34 sowie Artikel 5, insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt: … d) die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“.

3. PNR-Richtlinie

9. Ich werde im Folgenden nur einen kurzen Überblick über die Funktionsweise des mit der PNR-Richtlinie geschaffenen Systems geben. Weitere Einzelheiten zum Inhalt der Bestimmungen der PNR-Richtlinie, die für die auf die Vorlagefragen zu gebende Antwort relevant ist, sollen im Verlauf der rechtlichen Würdigung geliefert werden.

10. Gemäß ihrem Art. 1 wird mit der PNR-Richtlinie, die auf der Grundlage von Art. 82 Abs. 1 Buchst. d AEUV und Art. 87 Abs. 2 Buchst. a AEUV erlassen worden ist, auf der Ebene der Europäischen Union ein System für die Übermittlung von PNR-Daten zu Fluggästen von Drittstaatsflügen ( 6 ) durch Fluggesellschaften sowie für die Erhebung, Verarbeitung und Speicherung dieser Daten durch die zuständigen Behörden der Mitgliedstaaten zum Zwecke der Bekämpfung von Terrorismus und schwerer Kriminalität eingeführt.

11. Gemäß Art. 3 Nr. 5 dieser Richtlinie bezeichnet der Ausdruck „Fluggastdatensatz“ oder „PNR-Daten“ einen „Datensatz mit den für die Reise notwendigen Angaben zu jedem einzelnen Fluggast, die die Bearbeitung und Überprüfung der von einer Person oder in ihrem Namen getätigten Reservierungen für jede Reise durch die buchenden und beteiligten Fluggesellschaften ermöglichen, unabhängig davon, ob er in Buchungssystemen, Abfertigungssystemen (Departure Control Systems) zum Einchecken von Passagieren auf Flüge[] oder gleichwertigen Systemen, die die gleichen Funktionen bieten, enthalten ist“.

12. In Anhang I der PNR-Richtlinie (im Folgenden: Anhang I) sind die von Fluggesellschaften erhobenen PNR-Daten aufgeführt, die im Sinne und nach den Modalitäten von Art. 8 dieser Richtlinie übermittelt werden.

13. Anhang II der PNR-Richtlinie (im Folgenden: Anhang II) enthält eine Liste der strafbaren Handlungen, die „schwere Kriminalität“ im Sinne von Art. 3 Nr. 9 dieser Richtlinie darstellen.

14. Art. 2 der PNR-Richtlinie sieht für die Mitgliedstaaten die Möglichkeit vor, zu entscheiden, diese Richtlinie auch auf „Flüge innerhalb der Europäischen Union (EU-Flüge)“ ( 7 ) oder einige von ihnen, die für die Verfolgung der Ziele der Richtlinie für „erforderlich“ gehalten werden, anzuwenden.

15. Gemäß Art. 4 Abs. 1 der PNR-Richtlinie errichtet oder benennt [j]eder Mitgliedstaat … eine für die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von terroristischen Straftaten und schwerer Kriminalität zuständige Behörde oder eine Abteilung einer solchen Behörde, die als seine PNR-Zentralstelle handelt“. Nach Abs. 2 Buchst. a dieses Artikels ist die PNR-Zentralstelle u. a. verantwortlich für die Erhebung der PNR-Daten bei Fluggesellschaften, für die Speicherung und Verarbeitung dieser Daten sowie die Übermittlung dieser Daten oder der Ergebnisse ihrer Verarbeitung an die zuständigen Behörden nach Art. 7 der PNR-Richtlinie. Gemäß Art. 7 Abs. 2 sind diese Behörden „diejenigen Behörden, die für die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von terroristischen Straftaten oder schwerer Kriminalität zuständig sind“ ( 8 ).

16. In Art. 6 Abs. 1 Satz 2 der PNR-Richtlinie heißt es: „Wenn die von Fluggesellschaften übermittelten PNR-Daten andere als die in Anhang I genannten Daten beinhalten, werden diese Daten von der PNR-Zentralstelle unmittelbar nach ihrem Eingang dauerhaft gelöscht.“ Abs. 2 dieses Artikels hat folgenden Wortlaut: „(2) Die PNR-Zentralstelle verarbeitet PNR-Daten ausschließlich zu folgenden Zwecken: a) Überprüfung von Fluggästen vor ihrer planmäßigen Ankunft in einem Mitgliedstaat oder vor ihrem Abflug von einem Mitgliedstaat, um diejenigen Personen zu ermitteln, die von den zuständigen Behörden gemäß Artikel 7 und gegebenenfalls – im Einklang mit Artikel 10 – von Europol genauer überprüft werden müssen, da sie möglicherweise an einer terroristischen Straftat oder an schwerer Kriminalität beteiligt sind; b) im Einzelfall Beantwortung von auf einer hinreichenden Grundlage gebührend begründeten Anfragen zuständiger Behörden hinsichtlich der Zurverfügungstellung und Verarbeitung von PNR-Daten in besonderen Fällen zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten oder schwerer Kriminalität[] und der Zurverfügungstellung der Ergebnisse dieser Verarbeitung an die zuständigen Behörden oder gegebenenfalls an Europol, und c) Analyse von PNR-Daten zwecks Aktualisierung der Kriterien oder Aufstellung neuer Kriterien zur Verwendung in gemäß Absatz 3 Buchstabe b durchgeführten Überprüfungen, die der Ermittlung von Personen gelten, die möglicherweise an einer terroristischen Straftat oder an schwerer Kriminalität beteiligt sind“.

17. Art. 12 der PNR-Richtlinie enthält Bestimmungen über die Speicherung von PNR-Daten.

18. Art. 5 der PNR-Richtlinie sieht vor, dass die PNR-Zentralstelle einen Datenschutzbeauftragten ernennt, der für die Überwachung der Verarbeitung der PNR-Daten und die Umsetzung der maßgeblichen Sicherheitsvorkehrungen zuständig ist. Außerdem ist jeder Mitgliedstaat gemäß Art. 15 dieser Richtlinie verpflichtet, die nationale Kontrollstelle gemäß Art. 25 des Rahmenbeschlusses 2008/977/JI ( 9 ), ersetzt durch die Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (im Folgenden: Polizei-Richtlinie) ( 10 ), mit der Kontrolle hinsichtlich der Anwendung der zur Umsetzung der Richtlinie erlassenen nationalen Vorschriften in seinem Hoheitsgebiet zu beauftragen. Diese Stelle, die ihre Aufgaben erfüllt, um die Grundrechte im Zusammenhang mit der Verarbeitung personenbezogener Daten zu schützen ( 11 ), ist u. a. für die Behandlung von Beschwerden betroffener Personen, die Untersuchung der Angelegenheit und Unterrichtung der betroffenen Personen über den Fortgang und das Ergebnis der Beschwerde innerhalb einer angemessenen Frist einerseits und die Prüfung der Rechtmäßigkeit der Datenverarbeitung sowie die Durchführung von Ermittlungen, Inspektionen und Audits gemäß nationalem Recht entweder aus eigener Initiative oder aufgrund einer Beschwerde andererseits verantwortlich ( 12 ).

4. Weitere einschlägige Rechtsakte der Union

19. Der rechtliche Rahmen der vorliegenden Rechtssache wird durch die API-Richtlinie und die Polizei-Richtlinie vervollständigt. Aus Gründen der Lesbarkeit der vorliegenden Schlussanträge soll der Inhalt der einschlägigen Bestimmungen dieser Rechtsakte nur insoweit dargelegt werden, als sich das für die Behandlung der sie betreffenden Fragen oder ganz allgemein für die Zwecke der rechtlichen Würdigung als erforderlich erweist.

B. Belgisches Recht

20. Nach Art. 22 der belgischen Verfassung hat „[j]eder … ein Recht auf Achtung vor seinem Privat- und Familienleben, außer in den Fällen und unter den Bedingungen, die durch Gesetz festgelegt sind“.

21. Gemäß seinem Art. 2 werden mit dem PNR-Gesetz die API-Richtlinie und die PNR-Richtlinie sowie teilweise die Richtlinie 2010/65/EU ( 13 ) umgesetzt.

22. Nach seinem Art. 3 § 1 bestimmt das PNR-Gesetz „die Verpflichtungen der Beförderungsunternehmen und Reiseunternehmen in Bezug auf die Übermittlung von Daten zu Passagieren, die in das nationale Hoheitsgebiet, aus dem nationalen Hoheitsgebiet oder durch das nationale Hoheitsgebiet befördert werden“. Gemäß Art. 4 Nrn. 1 und 2 dieses Gesetzes versteht man unter „Beförderungsunternehmen“„eine natürliche oder juristische Person, die gewerblich die Beförderung von Personen auf dem Luft‑, See‑, Eisenbahn- oder Landweg durchführt“, und unter „Reiseunternehmen“„einen Reiseveranstalter oder ‑vermittler im Sinne des Gesetzes vom 16. Februar 1994 zur Regelung des Reiseveranstaltungsvertrags und des Reisevermittlungsvertrags“.

23. Art. 8 des PNR-Gesetzes sieht vor: „§ l. Die Passagierdaten werden zu folgenden Zwecken verarbeitet: 1. Ermittlung und Verfolgung, einschließlich Vollstreckung von Strafen oder freiheitsbeschränkenden Maßnahmen, in Bezug auf die in Artikel 90ter § 2 … Nr. 7, 8, 11, 14, 17 bis [19] … und § 3 des Strafprozessgesetzbuches erwähnten Straftaten, 2. Ermittlung und Verfolgung, einschließlich Vollstreckung von Strafen oder freiheitsbeschränkenden Maßnahmen, in Bezug auf die in Artikel 196, was die Fälschung authentischer und öffentlicher Urkunden betrifft, 198, 199, 199bis, 207, 213, 375 und 505 des Strafgesetzbuches erwähnten Straftaten, 3. Verhinderung schwerer Störungen der öffentlichen Sicherheit im Rahmen der gewalttätigen Radikalisierung durch Beobachtung der Phänomene und Gruppierungen gemäß Artikel 44/5 § 1 Nr. 2 und 3 und § 2 des Gesetzes vom 5. August 1992 über das Polizeiamt, 4. Beaufsichtigung der in den Artikeln 7 Nr. 1 und 3/1 und 11 § 1 Nr. 1 bis 3 und 5 des Grundlagengesetzes vom 30. November 1998 über die Nachrichten- und Sicherheitsdienste[ ( 14 )] erwähnten Aktivitäten, 5. Ermittlung und Verfolgung der Straftaten, erwähnt in Artikel 220 § 2 des allgemeinen Gesetzes vom 18. Juli 1977 über Zölle und Akzisen, in Artikel 45 Absatz 3 des Gesetzes vom 22. Dezember 2009 über die allgemeine Akzisenregelung … § 2. Die Passagierdaten werden unter den in Kapitel 11 erwähnten Bedingungen ebenfalls verarbeitet, um die Personenkontrolle an den Außengrenzen zu verbessern und die illegale Einwanderung zu bekämpfen.“

24. Art. 9 des PNR-Gesetzes enthält eine Liste der Daten, die übermittelt werden. Diese Daten entsprechen den in Anhang I aufgeführten Daten.

25. Art. 18 des PNR-Gesetzes lautet: „Passagierdaten werden höchstens fünf Jahre ab ihrer Speicherung in der Passagierdatenbank aufbewahrt. Am Ende dieser Frist werden sie vernichtet.“

26. Art. 19 dieses Gesetzes sieht vor: „Nach Ablauf einer sechsmonatigen Frist ab der Speicherung der Passagierdaten in der Passagierdatenbank werden alle Passagierdaten durch Unkenntlichmachung [von] Datenelemente[n] … depersonalisiert[.]“

27. Art. 24 des PNR-Gesetzes bestimmt: „§ 1. Die Passagierdaten werden im Hinblick auf die Durchführung einer Vorabüberprüfung der Passagiere vor ihrer Ankunft im nationalen Hoheitsgebiet, ihrer Abreise aus dem nationalen Hoheitsgebiet oder ihrer Durchreise durch das nationale Hoheitsgebiet verarbeitet, um diejenigen Personen zu ermitteln, die genauer überprüft werden müssen. § 2. Im Rahmen der Zwecke, die in Artikel 8 § 1 Nr. 1, 4 und 5 erwähnt sind oder sich auf Bedrohungen beziehen, die in den Artikeln 8 Nr. 1 Buchstabe a), b), c), d), f), g) und 11 § 2 des Grundlagengesetzes vom 30. November 1998 über die Nachrichten- und Sicherheitsdienste aufgeführt sind, beruht die Vorabüberprüfung der Passagiere auf einem Treffer aus einer Korrelation zwischen den Passagierdaten und: 1. den Datenbanken, die von den zuständigen Diensten verwaltet werden oder die ihnen im Rahmen ihrer Aufträge unmittelbar zur Verfügung stehen oder zugänglich sind, oder Personenlisten, die von den zuständigen Diensten im Rahmen ihrer Aufträge erstellt werden, 2. den Überprüfungskriterien, die von der PNR-Zentralstelle im Voraus festgelegt sind und in Artikel 25 erwähnt sind. § 3. Im Rahmen der in Artikel 8 § 1 Nr. 3 erwähnten Zwecke beruht die Vorabüberprüfung der Passagiere auf einem Treffer aus einer Korrelation zwischen den Passagierdaten und den in § 2 Nr. 1 erwähnten Datenbanken. …“

28. Art. 25 des PNR-Gesetzes übernimmt den Inhalt von Art. 6 Abs. 4 der PNR-Richtlinie.

29. Kapitel 11 des PNR-Gesetzes enthält Vorschriften über die Verarbeitung der Passagierdaten im Hinblick auf eine Verbesserung der Grenzkontrolle und die Bekämpfung der illegalen Einwanderung. Diese Vorschriften stellen die Umsetzung der API-Richtlinie in belgisches Recht dar.

30. Art. 44 des PNR-Gesetzes sieht vor, dass die PNR-Zentralstelle einen Datenschutzbeauftragten innerhalb des Föderalen Öffentlichen Dienstes Inneres bestimmt. Die Kontrolle hinsichtlich der Anwendung der Bestimmungen des PNR-Gesetzes wird vom Ausschuss für den Schutz des Privatlebens ausgeübt.

31. Mit Art. 51 des PNR-Gesetzes wird das Grundlagengesetz vom 30. November 1998 über die Nachrichten- und Sicherheitsdienste durch Einfügung eines Art. 16/3 mit folgendem Wortlaut abgeändert: „§ 1. Die Nachrichten- und Sicherheitsdienste können im Interesse der Ausübung ihrer Aufträge und ordnungsgemäß begründet beschließen, auf die in Artikel 7 des [PNR-Gesetzes] erwähnten Passagierdaten zuzugreifen. § 2. Der in § 1 erwähnte Beschluss wird von einem Dienstleiter gefasst und der in Kapitel 7 des vorerwähnten Gesetzes erwähnten PNR-Zentralstelle schriftlich übermittelt. Der Beschluss wird zusammen mit seiner Begründung dem Ständigen Ausschuss N notifiziert. Der Ständige Ausschuss N verbietet den Nachrichten- und Sicherheitsdiensten, die gesammelten Daten unter Bedingungen zu benutzen, die die gesetzlichen Bedingungen nicht einhalten. Der Beschluss kann eine Gesamtheit von Daten in Bezug auf eine spezifische nachrichtendienstliche Untersuchung betreffen. In diesem Fall wird dem Ständigen Ausschuss N einmal pro Monat die Liste der Abfragen der Passagierdaten übermittelt.“

C. Ausgangsrechtsstreit, Vorlagefragen und Verfahren vor dem Gerichtshof

32. Mit einer an den Verfassungsgerichtshof gerichteten Klageschrift vom 24. Juli 2017 erhob die LDH Klage auf vollständige oder teilweise Nichtigerklärung des PNR-Gesetzes. Zur Stützung ihrer Klage machte sie zwei Klagegründe geltend.

33. Mit ihrem ersten Klagegrund eines Verstoßes gegen Art. 22 der belgischen Verfassung in Verbindung mit Art. 23 der DSGVO, den Art. 7, 8 und 52 Abs. 1 der Charta sowie Art. 8 der am 4. November 1950 in Rom unterzeichneten Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten (im Folgenden: EMRK) vertritt die LDH die Ansicht, das angefochtene Gesetz verstoße hinsichtlich seines Anwendungsbereichs und der genannten Datenkategorien, der mit ihm eingeführten Datenverarbeitungen, seiner Zwecke sowie der Aufbewahrungsdauer der Daten gegen den Grundsatz der Verhältnismäßigkeit. Sie trägt insbesondere vor, dass die Definition der PNR-Daten zu weit sei und zur Preisgabe sensibler Daten führen könne und dass die in diesem Gesetz enthaltene Definition des Begriffs „Passagier“ eine systematische und nicht zielgerichtete Verarbeitung der Daten aller betroffenen Fluggäste ermögliche. Außerdem würden im PNR-Gesetz weder die Art und die Modalitäten der Pre-Screening-Methode der Passagierdatenbanken noch die Kriterien festgelegt, die als „Indikatoren für die Bedrohung“ dienten. Schließlich überschreite das PNR-Gesetz die Grenzen des absolut Notwendigen in dem Sinne, dass es Zwecke der Verarbeitung von PNR-Daten verfolge, die über die in der PNR-Richtlinie zugelassenen Zwecke hinausgingen; auch sei die Aufbewahrungsdauer von fünf Jahren für PNR-Daten unverhältnismäßig. Mit ihrem hilfsweise vorgebrachten zweiten Klagegrund, mit dem ein Verstoß gegen Art. 22 der belgischen Verfassung in Verbindung mit Art. 3 Abs. 2 EUV und Art. 45 der Charta geltend gemacht wird, greift die LDH die Bestimmungen von Kapitel 11 des PNR-Gesetzes an, mit denen die API-Richtlinie umgesetzt wird.

34. Der Ministerrat des Königreichs Belgien wendet sich als Streithelfer vor dem Verfassungsgerichtshof gegen die Klage der LDH und bestreitet sowohl die Zulässigkeit als auch die Begründetheit der beiden zu ihrer Stützung vorgebrachten Klagegründe.

35. Der Verfassungsgerichtshof stellt seinerseits folgende Erwägungen an.

36. In Bezug auf den ersten Klagegrund fragt er sich zunächst, ob die Definition der PNR-Daten in Anhang I hinreichend klar und präzise ist. Die Beschreibung bestimmter Daten habe beispielhaften und nicht erschöpfenden Charakter. Sodann habe die Definition des Begriffs „Fluggast“ in Art. 3 Nr. 4 der PNR-Richtlinie die Erhebung, Übermittlung, Verarbeitung und Speicherung der PNR-Daten jeder beförderten oder zu befördernden und in der Passagierliste eingetragenen Person zur Folge, unabhängig davon, ob ein begründeter Verdacht bestehe, dass die betreffende Person eine Straftat begangen habe oder in naher Zukunft begehen werde oder für eine Straftat verurteilt worden sei. Bezüglich der Verarbeitungen der PNR-Daten weist er darauf hin, dass diese systematisch Gegenstand einer Vorabüberprüfung seien, bei der die PNR-Daten aller Fluggäste mit Datenbanken oder im Voraus festgelegten Kriterien abgeglichen würden, um Übereinstimmungen festzustellen. Gleichwohl stellt der Verfassungsgerichtshof klar, dass die Kriterien zwar spezifisch, zuverlässig und nicht diskriminierend sein müssten, es ihm aber technisch unmöglich erscheine, die im Voraus festgelegten Kriterien für die Bestimmung von Risikoprofilen weiter zu definieren. In Bezug auf die Frist für die Speicherung der PNR-Daten gemäß Art. 12 Abs. 1 der PNR-Richtlinie, wonach diese Daten für einen Zeitraum von fünf Jahren vorgehalten werden können, vertritt das vorlegende Gericht die Auffassung, die PNR-Daten würden aufbewahrt, ohne die Frage zu berücksichtigen, ob die betreffenden Fluggäste im Rahmen der Vorabüberprüfung eine Gefahr für die öffentliche Sicherheit darstellen könnten oder nicht. Unter diesen Umständen fragt sich das vorlegende Gericht, ob in Anbetracht der u. a. aus dem Urteil vom 21. Dezember 2016, Tele2 Sverige und Watson u. a. ( 15 ), sowie dem Gutachten 1/15 (PNR-Abkommen EU–Kanada) vom 26. Juli 2017 ( 16 ) hervorgegangenen Rechtsprechung davon ausgegangen werden kann, dass das mit der PNR-Richtlinie geschaffene System für die Erhebung, Übermittlung, Verarbeitung und Aufbewahrung von PNR-Daten nicht die Grenzen des absolut Notwendigen überschreitet. In diesem Zusammenhang fragt sich der Verfassungsgerichtshof auch, ob die PNR-Richtlinie einer nationalen Regelung wie der sich aus Art. 8 Abs. 1 Nr. 4 des PNR-Gesetzes ergebenden entgegensteht, die eine Verarbeitung der PNR-Daten zu einem anderen als den in der Richtlinie vorgesehenen Zwecken gestattet. Er fragt sich schließlich, ob die PNR-Zentralstelle als „andere nationale Behörde“ angesehen werden kann, die gemäß Art. 12 Abs. 3 Buchst. b Ziff. ii der PNR-Richtlinie nach einer Frist von sechs Monaten die Offenlegung der vollständigen PNR-Daten gestatten könnte. Zum zweiten Klagegrund stellt das vorlegende Gericht fest, dass sich dieser gegen Art. 3 Abs. 1, Art. 8 Abs. 2 sowie die Art. 28 bis 31 des PNR-Gesetzes richte, in denen die Erhebung und Verarbeitung von Passagierdaten zur Bekämpfung der illegalen Einwanderung und zur Verbesserung der Grenzkontrollen geregelt seien. Das vorlegende Gericht weist darauf hin, dass das PNR-Gesetz nach der erstgenannten Vorschrift Flüge in das nationale Hoheitsgebiet, aus dem nationalen Hoheitsgebiet und durch das nationale Hoheitsgebiet erfasse, und stellt klar, dass der nationale Gesetzgeber „EU-Flüge“ in den Anwendungsbereich des Gesetzes einbezogen habe, um „ein umfassenderes Bild der Bewegungen von Passagieren zu erhalten, die eine potenzielle Bedrohung für die [Sicherheit innerhalb der Union] und [die] nationale Sicherheit darstellen“, wobei es sich auf die Möglichkeit stützt, die in Art. 2 der PNR-Richtlinie in Verbindung mit deren zehntem Erwägungsgrund vorgesehen ist.

37. In diesem Kontext hat der Verfassungsgerichtshof beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen: 1. Ist Art. 23 der [DSGVO] in Verbindung mit Art. 2 Abs. 2 Buchst. d dieser Verordnung so auszulegen, dass er auf einzelstaatliche Rechtsvorschriften wie das [PNR-Gesetz], mit dem die [PNR-Richtlinie] sowie die [API-Richtlinie] und die Richtlinie 2010/65 umgesetzt werden, anwendbar ist? 2. Ist Anhang I … mit den Art. 7, 8 und 52 Abs. 1 der [Charta] in dem Sinne vereinbar, dass die darin aufgeführten Daten sehr weitgehend sind – insbesondere die in Nr. 18 [dieses Anhangs I] erwähnten Daten, die über die in Art. 3 Abs. 2 der [API-Richtlinie] erwähnten Daten hinausgehen – insofern sie zusammengenommen sensible Daten offenlegen könnten und so über das „absolut Notwendige“ hinausgehen könnten? 3. Sind die Nrn. 12 und 18 des Anhangs I … mit den Art. 7, 8 und 52 Abs. 1 der [Charta] vereinbar, insofern unter Berücksichtigung des Wortes „einschließlich“ die dort aufgeführten Daten in beispielhafter und nicht erschöpfender Weise genannt werden, was somit gegen die Anforderung der Präzision und Klarheit der Regeln, die einen Eingriff in das Recht auf Achtung des Privatlebens und das Recht auf Schutz personenbezogener Daten nach sich ziehen, verstoßen könnte? 4. Sind Art. 3 Nr. 4 der [PNR-Richtlinie] und Anhang I … mit den Art. 7, 8 und 52 Abs. 1 der [Charta] vereinbar, insofern das System zur allgemeinen Erhebung, Übermittlung und Verarbeitung von Passagierdaten, das mit diesen Bestimmungen eingeführt wird, auf jede Person abzielt, die das betreffende Beförderungsmittel benutzt, unabhängig von einem objektiven Anhaltspunkt für die Annahme, dass von dieser Person eine Gefahr für die öffentliche Sicherheit ausgehen könnte? 5. Ist Art. 6 der [PNR-Richtlinie] in Verbindung mit den Art. 7, 8 und 52 Abs. 1 der [Charta] dahin auszulegen, dass er einzelstaatlichen Rechtsvorschriften wie dem angefochtenen Gesetz entgegensteht, das als Verarbeitungszweck der PNR-Daten die Beaufsichtigung der erwähnten Aktivitäten durch die Nachrichten- und Sicherheitsdienste zulässt und so diesen Zweck in die Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität aufnimmt? 6. Ist Art. 6 der [PNR-Richtlinie] mit den Art. 7, 8 und 52 Abs. 1 der [Charta] vereinbar, insofern die in ihm geregelte Vorabüberprüfung durch eine Korrelation mit Datenbanken und im Voraus festgelegten Kriterien systematisch und allgemein auf die Passagierdaten angewandt wird, unabhängig von einem objektiven Anhaltspunkt für die Annahme, dass von diesen Fluggästen eine Gefahr für die öffentliche Sicherheit ausgehen könnte? 7. Kann der in Art. 12 Abs. 3 der [PNR-Richtlinie] erwähnte Ausdruck „andere nationale Behörde, die … zuständig ist“ dahin ausgelegt werden, dass er sich auf die PNR-Zentralstelle bezieht, die durch das [PNR-Gesetz] geschaffen wurde und die somit den Zugriff auf die PNR-Daten nach einer sechsmonatigen Frist im Rahmen von gezielten Recherchen gestatten dürfte? 8. Ist Art. 12 der [PNR-Richtlinie] in Verbindung mit den Art. 7, 8 und 52 Abs. 1 der [Charta] dahin auszulegen, dass er einzelstaatlichen Rechtsvorschriften wie dem angefochtenen Gesetz entgegensteht, das eine allgemeine Aufbewahrungsdauer für die Daten von fünf Jahren vorsieht, ohne eine Unterscheidung danach vorzunehmen, ob sich im Rahmen der Vorabüberprüfung herausstellt, dass die betroffenen Fluggäste ein Risiko für die öffentliche Sicherheit darstellen können oder nicht? 9. a) Ist die [API-Richtlinie] mit Art. 3 Abs. 2 [EUV] und mit Art. 45 der [Charta] vereinbar, insofern die Pflichten, die sie einführt, für Flüge innerhalb der … Union gelten? b) Ist die [API-Richtlinie] in Verbindung mit Art. 3 Abs. 2 [EUV] und mit Art. 45 der [Charta] dahin auszulegen, dass sie einzelstaatlichen Rechtsvorschriften wie dem angefochtenen Gesetz entgegensteht, das zum Zwecke der Bekämpfung der illegalen Einwanderung und der Verbesserung der Grenzkontrollen ein System zur Erhebung und Verarbeitung der Daten „zu den in das nationale Hoheitsgebiet, aus dem nationalen Hoheitsgebiet oder durch das nationale Hoheitsgebiet“ beförderten Passagieren gestattet, was indirekt eine Wiedereinführung von Kontrollen an den Binnengrenzen bedeuten könnte? 10. Könnte der Verfassungsgerichtshof, falls er auf der Grundlage der Antworten auf die vorstehenden Vorabentscheidungsfragen zu dem Schluss gelangen sollte, dass das angefochtene Gesetz, mit dem insbesondere die [PNR-Richtlinie] umgesetzt wird, gegen eine oder mehrere der Verpflichtungen verstößt, die sich aus den in diesen Fragen genannten Bestimmungen ergeben, die Folgen des [PNR-Gesetzes] vorläufig aufrechterhalten, um eine Rechtsunsicherheit zu vermeiden und es zu ermöglichen, dass die zuvor gesammelten und auf Vorrat gespeicherten Daten noch für die durch [dieses] Gesetz angestrebten Ziele benutzt werden können?

38. Die LDH, die belgische, die tschechische, die dänische, die deutsche, die estnische, die irische, die spanische, die französische, die zyprische, die lettische, die niederländische, die österreichische, die polnische und die finnische Regierung sowie das Europäische Parlament, der Rat der Europäischen Union und die Europäische Kommission haben gemäß Art. 23 der Satzung des Gerichtshofs der Europäischen Union schriftliche Erklärungen eingereicht. Nach Art. 24 der Satzung des Gerichtshofs der Europäischen Union sind die Kommission, der Europäische Datenschutzbeauftragte (EDSB) und die Agentur der Europäischen Union für Grundrechte (FRA) aufgefordert worden, schriftlich auf Fragen des Gerichtshofs zu antworten. Eine mündliche Verhandlung hat am 13. Juli 2021 stattgefunden.

III. Würdigung

A. Zur ersten Vorlagefrage

39. Mit seiner ersten Vorlagefrage möchte das vorlegende Gericht vom Gerichtshof wissen, ob Art. 2 Abs. 2 Buchst. d der DSGVO dahin auszulegen ist, dass diese Verordnung, insbesondere ihr Art. 23 Abs. 1, wonach durch Rechtsvorschriften der Union oder der Mitgliedstaaten die Pflichten und Rechte gemäß der Verordnung im Wege von Gesetzgebungsmaßnahmen aus abschließend aufgeführten Gründen beschränkt werden können, für Datenverarbeitungen auf der Grundlage nationaler Rechtsvorschriften wie des PNR-Gesetzes gilt, mit dem die PNR-Richtlinie sowie die API-Richtlinie und die Richtlinie 2010/65 in innerstaatliches Recht umgesetzt werden.

40. Art. 2 Abs. 2 der DSGVO sieht Ausnahmen vom Anwendungsbereich dieser Verordnung vor, der in deren Art. 2 Abs. 1 ( 17 ) sehr weit definiert wird ( 18 ). Als Abweichungen von der Anwendung einer Regelung für die Verarbeitung personenbezogener Daten, die die Grundfreiheiten beeinträchtigen könnte, sind diese Ausnahmen eng auszulegen ( 19 ).

41. Art. 2 Abs. 2 Buchst. d der DSGVO enthält u. a. eine Ausschlussklausel, wonach diese Verordnung auf die Verarbeitung personenbezogener Daten „durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“ keine Anwendung findet. Diese Ausschlussklausel beruht auf einem subjektiven und objektiven Doppelkriterium. So sind vom Anwendungsbereich der Verordnung Datenverarbeitungen erstens durch die „zuständigen Behörden“ und zweitens zu den in dieser Vorschrift aufgeführten Zwecken ausgeschlossen. Daher sind die verschiedenen vom PNR-Gesetz erfassten Arten von Datenverarbeitungen anhand dieses Doppelkriteriums zu prüfen.

42. Was als Erstes Datenverarbeitungen durch (Luft‑, Eisenbahn‑, Land- und See‑) Beförderungsunternehmen oder durch Reiseunternehmen zur Erbringung von Dienstleistungen oder zu kommerziellen Zwecken angeht, so werden diese, sofern im PNR-Gesetz genannt, weiterhin durch die DSGVO geregelt, da weder der subjektive noch der objektive Teil des in Art. 2 Abs. 2 Buchst. d dieser Verordnung enthaltenen Ausschlusskriteriums erfüllt ist.

43. Was als Zweites die Übermittlung von PNR-Daten durch Beförderungsunternehmen oder Reiseunternehmen an die PNR-Zentralstelle betrifft, die als solche eine „Verarbeitung“ im Sinne von Art. 4 Nr. 2 der DSGVO darstellt ( 20 ), so ist ihre Einbeziehung in den Anwendungsbereich dieser Verordnung weniger offensichtlich.

44. Zum einen wird diese Übermittlung nämlich nicht von einer „zuständigen Behörde“ im Sinne von Art. 3 Nr. 7 der Polizei-Richtlinie, auf die in Ermangelung einer Definition dieses Begriffs in der DSGVO entsprechend Bezug zu nehmen ist, vorgenommen ( 21 ). Ein Wirtschaftsteilnehmer wie beispielsweise ein Beförderungsunternehmen oder ein Reiseunternehmen, dem lediglich eine Rechtspflicht zur Übermittlung personenbezogener Daten obliegt und keinerlei hoheitliche Befugnisse übertragen worden sind ( 22 ), kann nicht als Stelle oder Einrichtung im Sinne von Art. 3 Nr. 7 Buchst. b angesehen werden ( 23 ).

45. Zum anderen wird die Übermittlung von PNR-Daten durch Beförderungsunternehmen und Reiseunternehmen vorgenommen, um eine gesetzlich vorgeschriebene Verpflichtung zu erfüllen, mit dem Ziel, die Verfolgung der in Art. 2 Abs. 2 Buchst. d der DSGVO aufgeführten Zwecke zu ermöglichen.

46. Aus dem Wortlaut dieser Vorschrift geht nach meinem Dafürhalten jedoch eindeutig hervor, dass nur Verarbeitungen, die sowohl den subjektiven Teil als auch den objektiven Teil des in ihr genannten Ausschlusskriteriums erfüllen, nicht in den Anwendungsbereich der DSGVO fallen. Die den Beförderungsunternehmen und den Reiseunternehmen durch das PNR-Gesetz auferlegte Verpflichtung zur Übermittlung von PNR-Daten an die PNR-Zentralstelle fällt daher unter diese Verordnung.

47. Hinsichtlich der Bestimmungen des PNR-Gesetzes zur Umsetzung der PNR-Richtlinie wird die vorstehende Schlussfolgerung durch Art. 21 Abs. 2 dieser Richtlinie untermauert, der vorsieht, dass die Richtlinie „nicht die Anwendbarkeit der Richtlinie 95/46/EG[ ( 24 )] auf die Verarbeitung personenbezogener Daten durch Fluggesellschaften [berührt]“. Die u. a. von der französischen Regierung vorgeschlagene Auslegung der Vorschrift, wonach diese lediglich vorsehe, dass die Beförderungsunternehmen hinsichtlich der nicht in der PNR-Richtlinie vorgesehenen Datenverarbeitungen weiterhin den in der DSGVO festgelegten Verpflichtungen unterlägen, muss nach meinem Dafürhalten zurückgewiesen werden. In Anbetracht ihres Wortlauts hat diese „Vorbehaltsklausel“ nämlich einen breiten Anwendungsbereich und definiert sich ausschließlich durch einen Verweis auf den Datenverarbeiter, da vom Zweck oder vom Rahmen der Verarbeitung, wenn sie in Ausübung der Geschäftstätigkeit der Fluggesellschaft oder in Durchführung einer rechtlichen Verpflichtung erfolgt, keine Rede ist. Außerdem ist eine inhaltsgleiche Klausel in Art. 13 Abs. 3 der PNR-Richtlinie enthalten, der sich ganz konkret auf die den Fluggesellschaften nach der DSGVO obliegenden Pflichten bezieht, „geeignete technische und organisatorische Maßnahmen zum Schutz der Sicherheit und Vertraulichkeit der personenbezogenen Daten zu treffen“. Diese Vorschrift gehört jedoch zu den Vorschriften, die den Schutz gemäß der PNR-Richtlinie verarbeiteter personenbezogener Daten regeln, und folgt auf Art. 13 Abs. 1, der Datenverarbeitungen nach der PNR-Richtlinie allgemein den in ihm genannten Bestimmungen des Rahmenbeschlusses 2008/977 unterwirft. Entgegen dem Vorbringen der französischen Regierung lässt sich mit einer solchen normativen Anordnung zum einen Art. 13 Abs. 3 wie eine Klausel lesen, die nur in der PNR-Richtlinie vorgesehene und nicht von „zuständigen Behörden“ im Sinne der Polizei-Richtlinie vorgenommene Datenverarbeitungen unter die DSGVO subsumiert, und zum anderen der Verweis auf die Einhaltung der durch diese Verordnung auferlegten Pflichten im Bereich der Sicherheit und Vertraulichkeit der Daten wie ein Hinweis auf die Garantien verstehen, mit denen die Übermittlung der PNR-Daten durch die Beförderungsunternehmen an die PNR-Zentralstellen zwangsläufig versehen sein müssen.

48. Die Schlussfolgerung in Nr. 46 der vorliegenden Schlussanträge wird durch den 19. Erwägungsgrund der DSGVO und den elften Erwägungsgrund der Polizei-Richtlinie, auf die u. a. die deutsche, die irische und die französische Regierung in ihrem Vorbringen verweisen, die PNR-Richtlinie sei eine lex specialis, nicht in Frage gestellt. Daran ist zwar richtig, dass mit der PNR-Richtlinie für die in ihr genannten Verarbeitungen personenbezogener Daten ein gegenüber der DSGVO eigenständiger Rahmen zum Datenschutz geschaffen wird. Dieser spezifische Rahmen gilt jedoch nur für Verarbeitungen von PNR-Daten durch „zuständige Behörden“ im Sinne von Art. 3 Nr. 7 der Polizei-Richtlinie, zu denen insbesondere die PNR-Zentralstellen gehören, während die Übermittlung von PNR-Daten an die PNR-Zentralstellen in Anwendung u. a. der in Art. 21 Abs. 2 der PNR-Richtlinie vorgesehenen „Vorbehaltsklausel“ dem mit der DSGVO geschaffenen allgemeinen Rahmen unterworfen bleibt.

49. Zur Stützung ihrer Auffassung, wonach die DSGVO nicht für die Übermittlung von PNR-Daten durch Beförderungsunternehmen und Reiseunternehmen an die PNR-Zentralstellen gelte, verweisen die belgische, die irische, die französische und die zyprische Regierung auf das Urteil vom 30. Mai 2006, Parlament/Rat und Kommission ( 25 ), in dem der Gerichtshof für Recht erkannt hat, dass die Übermittlung von PNR-Daten durch Fluggesellschaften der Gemeinschaft an die Behörden der Vereinigten Staaten von Amerika im Rahmen eines zwischen diesen und der Europäischen Gemeinschaft ausgehandelten Abkommens eine Verarbeitung personenbezogener Daten im Sinne von Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 ( 26 ) darstellt und daher nicht in den Anwendungsbereich dieser Richtlinie fällt. Bei seiner Entscheidung hat der Gerichtshof den Zweck der Übermittlung sowie die Tatsache berücksichtigt, dass diese „in einem von staatlichen Stellen geschaffenen Rahmen statt[fand]“, obwohl die Daten von privaten Wirtschaftsteilnehmern erhoben und übermittelt wurden ( 27 ).

50. Insoweit genügt die Feststellung, dass das Urteil Parlament/Rat, wie der Gerichtshof im Urteil vom 6. Oktober 2020, La Quadrature du Net u. a. ( 28 ), im Wesentlichen entschieden hat, nicht auf den Kontext der DSGVO übertragbar ist ( 29 ).

51. Darüber hinaus hat der Gerichtshof die Argumentation, der er in den Urteilen Tele2 Sverige und vom 2. Oktober 2018, Ministerio Fiscal ( 30 ), gefolgt ist, in Rn. 102 des Urteils La Quadrature du Net ( 31 ) analog angewandt und festgestellt: „Die [DSGVO] findet zwar nach ihrem Art. 2 Abs. 2 Buchst. d keine Anwendung auf Verarbeitungen ‚durch die zuständigen Behörden‘ u. a. zum Zweck der Verhütung und Feststellung von Straftaten, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit. Wie aus Art. 23 Abs. 1 Buchst. d und h der Verordnung hervorgeht, fallen aber Verarbeitungen personenbezogener Daten, die zu diesem Zweck von Privatpersonen vorgenommen werden, in ihren Anwendungsbereich.“ ( 32 )

52. Aus den bereits dargelegten Gründen bin ich davon überzeugt, dass sich die Schlussfolgerung, wonach die Übermittlung von PNR-Daten durch die Beförderungsunternehmen und die Reiseunternehmen an die PNR-Zentralstellen unter die DSGVO fällt, bereits klar aus dem Wortlaut von Art. 2 Abs. 2 Buchst. d der DSGVO ergibt, der sich nur auf Verarbeitungen durch „zuständige Behörden“ bezieht, ohne dass es erforderlich ist, auf die in Art. 23 Abs. 1 dieser Verordnung enthaltene Beschränkungsklausel Bezug zu nehmen ( 33 ). Dessen ungeachtet stellt die in Rn. 102 des Urteils La Quadrature du Net enthaltene Feststellung ein klares Bekenntnis des Gerichtshofs zugunsten einer solchen Schlussfolgerung dar.

53. Da die Übermittlung von PNR-Daten durch Beförderungsunternehmen und Reiseunternehmen in den Anwendungsbereich der DSGVO fällt, stellen nationale Rechtsvorschriften wie das PNR-Gesetz, das diese Unternehmen zur Vornahme einer solchen Übermittlung verpflichtet, eine „Gesetzgebungsmaßnahme“ gemäß Art. 23 Abs. 1 Buchst. d der DSGVO dar und müssen daher die darin vorgesehenen Voraussetzungen erfüllen ( 34 ).

54. Was als Drittes Verarbeitungen von PNR-Daten durch die PNR-Zentralstelle und die zuständigen nationalen Behörden angeht, hängt die Anwendbarkeit der DSGVO, wie aus den vorstehenden Ausführungen hervorgeht, von den Zwecken ab, die mit diesen Verarbeitungen verfolgt werden.

55. So sind erstens Verarbeitungen von PNR-Daten durch die PNR-Zentralstelle und die zuständigen nationalen Behörden zu den in Art. 8 § 1 Nrn. 1 bis 3 und 5 des PNR-Gesetzes aufgeführten Zwecken ( 35 ) vom Anwendungsbereich der DSGVO ausgeschlossen, soweit diese Zwecke, wie es der Fall zu sein scheint, zu den Zwecken gehören, die von der Ausschlussklausel in Art. 2 Abs. 2 Buchst. d der DSGVO erfasst werden. Der Schutz der Daten der von den Verarbeitungen betroffenen Personen fällt unter das nationale Recht, vorbehaltlich der Anwendung der Polizei-Richtlinie ( 36 ) und – im Rahmen ihres Anwendungsbereichs – der PNR-Richtlinie.

56. Gleiches gilt zweitens für Verarbeitungen von PNR-Daten durch die PNR-Zentralstelle und die Sicherheits- und Nachrichtendienste im Rahmen der Beaufsichtigung der in den Bestimmungen des Grundlagengesetzes über die Nachrichten- und Sicherheitsdienste erwähnten Aktivitäten, die in Art. 8 § 1 Nr. 4 des PNR-Gesetzes aufgeführt sind, soweit sie die in Art. 2 Abs. 2 Buchst. d der DSGVO genannten Zwecke erfüllen, was das vorlegende Gericht zu beurteilen hat.

57. Die belgische Regierung trägt vor, Verarbeitungen gemäß Art. 8 § 1 Nr. 4 des PNR-Gesetzes würden in jedem Fall von den Ausschlussklauseln in Art. 2 Abs. 2 Buchst. a der DSGVO und in Art. 2 Abs. 3 Buchst. a der Polizei-Richtlinie erfasst, da die Tätigkeiten der Sicherheits- und Nachrichtendienste nicht in den Anwendungsbereich des Unionsrechts fielen.

58. Obwohl der Gerichtshof nicht zur Auslegung dieser Vorschriften befragt wird, stelle ich insoweit zunächst fest, dass, wie der Gerichtshof bereits entschieden hat, eine nationale Regelung, die privaten Wirtschaftsteilnehmern Verarbeitungspflichten auferlegt, selbst dann unter die Bestimmungen des Unionsrechts im Bereich des Schutzes personenbezogener Daten fällt, wenn sie den Schutz der nationalen Sicherheit betrifft ( 37 ). Folglich fällt die Übermittlung von PNR-Daten, die den Beförderungsunternehmen und den Reiseunternehmen durch das PNR-Gesetz vorgeschrieben wird, grundsätzlich selbst dann unter die DSGVO, wenn sie zu den Zwecken von Art. 8 § 1 Nr. 4 dieses Gesetzes erfolgt.

59. Sodann weise ich darauf hin, dass die DSGVO nach ihrem 16. Erwägungsgrund zwar nicht für „die nationale Sicherheit betreffende Tätigkeiten“ gilt und, wie der 14. Erwägungsgrund der Polizei-Richtlinie klarstellt, „die nationale Sicherheit betreffende Tätigkeiten [und] Tätigkeiten von Agenturen oder Stellen, die mit Fragen der nationalen Sicherheit befasst sind, … nicht als Tätigkeiten betrachtet werden [sollten], die in den Anwendungsbereich dieser Richtlinie fallen“, die Kriterien, auf deren Grundlage eine Verarbeitung personenbezogener Daten durch eine öffentliche Behörde, Stelle oder Agentur eines Mitgliedstaats in den Anwendungsbereich eines der beiden Unionsrechtsakte zur Regelung des Schutzes der betreffenden Personen bei solchen Verarbeitungen fällt oder außerhalb des Anwendungsbereichs des Unionsrechts liegt, aber einer Logik folgen, die sowohl mit den dieser Behörde, Stelle oder Agentur zugewiesenen Funktionen als auch mit den Zwecken der Verarbeitung zusammenhängt. Deshalb hat der Gerichtshof entschieden, dass Art. 2 Abs. 2 Buchst. a der DSGVO im Licht des 16. Erwägungsgrundes dieser Verordnung „so zu verstehen ist, dass damit vom Anwendungsbereich dieser Verordnung allein Verarbeitungen personenbezogener Daten ausgenommen werden sollen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden, so dass der bloße Umstand, dass eine Tätigkeit eine spezifische Tätigkeit des Staates oder einer Behörde ist, nicht dafür ausreicht, dass diese Ausnahme automatisch für diese Tätigkeit gilt“ ( 38 ). Er hat darüber hinaus klargestellt, dass „[d]ie auf die Wahrung der nationalen Sicherheit abzielenden Tätigkeiten, auf die Art. 2 Abs. 2 Buchst. a der DSGVO abstellt, … insbesondere solche [umfassen], die den Schutz der grundlegenden Funktionen des Staates und der grundlegenden Interessen der Gesellschaft bezwecken“ ( 39 ). Für den Fall, dass ein Mitgliedstaat seinen Sicherheits- und Nachrichtendiensten Aufgaben in den in Art. 3 Nr. 7 Buchst. a der Polizei-Richtlinie aufgeführten Bereichen überträgt, würden die von den Diensten für die Erfüllung dieser Aufgaben vorgenommenen Datenverarbeitungen folglich in den Anwendungsbereich der Polizei-Richtlinie und gegebenenfalls der PNR-Richtlinie fallen. Ich stelle ganz allgemein fest, dass, wie der Gerichtshof im Rahmen der Auslegung von Art. 4 Abs. 2 EUV, auf den sich u. a. die belgische Regierung stützt, wiederholt entschieden hat, die bloße Tatsache, dass eine nationale Maßnahme zum Schutz der nationalen Sicherheit getroffen wurde, nicht zur Unanwendbarkeit des Unionsrechts führen und die Mitgliedstaaten von der erforderlichen Beachtung dieses Rechts entbinden kann ( 40 ), weshalb sich der Gerichtshof zurückhaltend zeigt, wenn es um einen automatischen und gänzlichen Ausschluss der Tätigkeiten der Mitgliedstaaten im Zusammenhang mit dem Schutz der nationalen Sicherheit vom Anwendungsbereich des Unionsrechts geht.

60. Drittens ist in Übereinstimmung mit allen Verfahrensbeteiligten, die Erklärungen abgegeben haben, mit Ausnahme der französischen Regierung davon auszugehen, dass Verarbeitungen von PNR-Daten durch die zuständigen belgischen Behörden zu den in Art. 8 § 2 des PNR-Gesetzes genannten Zwecken, nämlich „um die Personenkontrolle an den Außengrenzen zu verbessern und die illegale Einwanderung zu bekämpfen“ ( 41 ), weder unter die in Art. 2 Abs. 2 Buchst. d der DSGVO enthaltene Ausschlussklausel noch unter einen anderen in diesem Artikel vorgesehenen Ausschlussgrund und daher in den Anwendungsbereich der Verordnung fallen. Entgegen dem Vorbringen der französischen Regierung unterliegen solche Verarbeitungen weder der PNR-Richtlinie, deren Art. 1 Abs. 2 vorsieht, dass „[d]ie nach Maßgabe dieser Richtlinie erhobenen PNR-Daten … ausschließlich zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität … verarbeitet werden [dürfen]“, noch grundsätzlich der Polizei-Richtlinie, die nach ihrem Art. 1 Abs. 1 nur für Verarbeitungen personenbezogener Daten durch die zuständigen Behörden „zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“, gilt. Wie aus der Vorlageentscheidung hervorgeht, sollen mit Art. 8 § 2 des PNR-Gesetzes und dessen Kapitel 11, das Bestimmungen über die Verarbeitung von PNR-Daten zur Verbesserung der Kontrolle an den Grenzen und zur Bekämpfung der illegalen Einwanderung enthält und dazu die Übermittlung dieser Daten durch die PNR-Zentralstelle u. a. an die mit der Grenzkontrolle beauftragten Polizeidienste vorsieht, die API-Richtlinie und die Richtlinie 2010/65 in belgisches Recht umgesetzt werden. Beide Richtlinien verpflichten die zuständigen Behörden hinsichtlich der in ihnen vorgesehenen Verarbeitungen zur Einhaltung der Bestimmungen der Richtlinie 95/46 ( 42 ). Entgegen dem Vorbringen der französischen Regierung ist der Verweis auf die Schutzbestimmungen dieser Richtlinie so zu verstehen, dass er Verarbeitungen personenbezogener Daten nach der API-Richtlinie und der Richtlinie 2010/65 umfasst. Die Tatsache, dass die API-Richtlinie aus der Zeit vor dem Inkrafttreten des Rahmenbeschlusses 2008/977 stammt, ist insoweit irrelevant, da dieser Rahmenbeschluss und die Polizei-Richtlinie, die ihn ersetzt hat, nur die in Art. 3 Abs. 1 der API-Richtlinie genannten Verarbeitungen personenbezogener Daten durch die zuständigen Behörden zu Strafverfolgungszwecken betreffen ( 43 ).

61. Nach alledem schlage ich dem Gerichtshof vor, auf die erste Vorlagefrage zu antworten, dass Art. 23 der DSGVO in Verbindung mit Art. 2 Abs. 2 Buchst. d dieser Verordnung dahin auszulegen ist, dass er – für nationale Rechtsvorschriften zur Umsetzung der PNR-Richtlinie gilt, soweit diese Rechtsvorschriften Verarbeitungen von PNR-Daten durch Beförderungsunternehmen und andere Wirtschaftsteilnehmer, einschließlich der in Art. 8 der Richtlinie vorgesehenen Übermittlung von PNR-Daten an die PNR-Zentralstellen, regeln; – nicht für nationale Rechtsvorschriften zur Umsetzung der PNR-Richtlinie gilt, soweit diese Rechtsvorschriften Datenverarbeitungen durch die zuständigen nationalen Behörden, einschließlich der PNR-Zentralstellen und gegebenenfalls der Sicherheits- und Nachrichtendienste des betreffenden Mitgliedstaats, zu den in Art. 1 Abs. 2 der Richtlinie vorgesehenen Zwecken regeln; – für nationale Rechtsvorschriften zur Verbesserung der Personenkontrolle an den Außengrenzen und zur Bekämpfung der illegalen Einwanderung gilt, mit denen die API-Richtlinie und die Richtlinie 2010/65 umgesetzt werden.

B. Zur zweiten, zur dritten, zur vierten, zur sechsten und zur achten Vorlagefrage

62. Mit seiner zweiten, seiner dritten, seiner vierten und seiner sechsten Vorlagefrage befragt der Verfassungsgerichtshof den Gerichtshof zur Gültigkeit der PNR-Richtlinie in Bezug auf die Art. 7, 8 und 52 Abs. 1 der Charta. Obwohl sie wie eine Auslegungsfrage abgefasst ist, zielt auch die achte Vorlagefrage im Wesentlichen darauf ab, den Gerichtshof zu veranlassen, sich zur Gültigkeit dieser Richtlinie zu äußern.

63. Mit den Fragen, die sich auf die verschiedenen Elemente des durch die PNR-Richtlinie geschaffenen Systems zur Verarbeitung von PNR-Daten beziehen, wird für jedes einzelne dieser Elemente um Beurteilung der Frage ersucht, ob es die Voraussetzungen erfüllt, von denen die Rechtmäßigkeit der Beschränkungen für die Ausübung der in den Art. 7 und 8 der Charta niedergelegten Grundrechte abhängt. So betreffen die zweite und die dritte Vorlagefrage den Katalog der PNR-Daten in Anhang I, die vierte Frage die Definition des Begriffs „Fluggast“ in Art. 3 Nr. 4 der PNR-Richtlinie, die sechste Frage die Verwendung der PNR-Daten für die Vorabüberprüfung gemäß Art. 6 dieser Richtlinie und die achte Frage die in Art. 12 Abs. 1 der Richtlinie vorgesehene Frist für die Speicherung der PNR-Daten.

1. Zu den in den Art. 7 und 8 der Charta niedergelegten Grundrechten

64. Art. 7 der Charta garantiert jeder Person das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung und ihrer Kommunikation. Art. 8 Abs. 1 der Charta räumt jeder Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten ein. Nach ständiger Rechtsprechung sind diese Rechte, die sich auf jede Information erstrecken, die eine bestimmte oder bestimmbare natürliche Person betrifft, eng miteinander verknüpft, da der Zugriff auf personenbezogene Daten einer natürlichen Person zum Zweck ihrer Speicherung oder Verwendung das Recht dieser Person auf Achtung des Privatlebens berührt ( 44 ).

65. Die in den Art. 7 und 8 der Charta niedergelegten Rechte können jedoch keine uneingeschränkte Geltung beanspruchen, sondern müssen im Hinblick auf ihre gesellschaftliche Funktion gesehen werden ( 45 ). Art. 8 Abs. 2 der Charta gestattet daher die Verarbeitung personenbezogener Daten, wenn bestimmte Voraussetzungen erfüllt sind. Diese Vorschrift sieht vor, dass personenbezogene Daten nur „nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage“ verarbeitet werden dürfen.

66. Jede Einschränkung des Rechts auf Schutz personenbezogener Daten und des Rechts auf Privatsphäre muss außerdem die Vorgaben von Art. 52 Abs. 1 der Charta beachten. So muss eine solche Einschränkung gesetzlich vorgesehen sein, den Wesensgehalt dieser Rechte achten und unter Wahrung des Grundsatzes der Verhältnismäßigkeit erforderlich sein und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen.

67. Bei der Beurteilung einer die genannten Rechte einschränkenden Maßnahme muss auch berücksichtigt werden, welche Bedeutung den in den Art. 3, 4, 6 und 7 der Charta verankerten Rechten und den Zielen des Schutzes der nationalen Sicherheit und der Bekämpfung schwerer Kriminalität als Beitrag zum Schutz der Rechte und Freiheiten anderer zukommt ( 46 ). Insoweit ist in Art. 6 der Charta das Recht jedes Menschen nicht nur auf Freiheit, sondern auch auf Sicherheit verankert ( 47 ).

68. Darüber hinaus soll mit Art. 52 Abs. 3 der Charta die notwendige Kohärenz zwischen den in der Charta enthaltenen Rechten und den entsprechenden durch die EMRK garantierten Rechten, die als Mindestschutzstandard zu berücksichtigen sind, gewährleistet werden ( 48 ). Das in Art. 7 der Charta verankerte Recht auf Achtung des Privat- und Familienlebens entspricht dem in Art. 8 EMRK garantierten Recht, so dass ihm die gleiche Bedeutung und Tragweite zuzuerkennen ist ( 49 ). Aus der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (im Folgenden: EGMR) geht hervor, dass ein Eingriff in die in diesem Artikel garantierten Rechte nach Art. 8 Abs. 2 nur gerechtfertigt sein kann, wenn er gesetzlich vorgesehen ist, einem oder mehreren darin aufgeführten rechtmäßigen Zielen dient und in einer demokratischen Gesellschaft zur Erreichung dieses Ziels oder dieser Ziele erforderlich ist ( 50 ). Die Maßnahme muss auch mit dem Grundsatz der Rechtsstaatlichkeit vereinbar sein, der in der Präambel der EMRK ausdrücklich erwähnt wird und Ziel und Zweck von deren Art. 8 inhärent ist ( 51 ).

69. Im Licht der vorstehend aufgeführten Grundsätze sind die Gültigkeitsfragen des Verfassungsgerichtshofs zu prüfen.

2. Zum Eingriff in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte

70. Der Gerichtshof hat bereits entschieden, dass Bestimmungen, die die Übermittlung personenbezogener Daten natürlicher Personen an einen Dritten, etwa eine Behörde, vorschreiben oder gestatten, bei fehlender Einwilligung dieser natürlichen Personen unabhängig von der späteren Verwendung der in Rede stehenden Daten als Eingriff in ihr Privatleben und damit – unbeschadet ihrer etwaigen Rechtfertigung – als Einschränkung des durch Art. 7 der Charta garantierten Grundrechts einzustufen sind ( 52 ). Dem ist so, auch wenn keine Umstände vorliegen, aufgrund deren ein solcher Eingriff als „schwer“ eingestuft werden kann, und ohne dass es darauf ankommt, ob die betroffenen Informationen über das Privatleben als sensibel anzusehen sind oder die Betroffenen durch diesen Eingriff irgendwelche Nachteile erlitten haben ( 53 ). In gleicher Weise stellt der Zugang der öffentlichen Stellen zu solchen Informationen einen Eingriff in das in Art. 8 der Charta garantierte Grundrecht auf Schutz personenbezogener Daten dar, da es sich dabei um eine Verarbeitung personenbezogener Daten handelt ( 54 ). Auch die Vorratsspeicherung von Daten über das Privatleben einer Person während eines bestimmten Zeitraums stellt als solche einen Eingriff in die durch die Art. 7 und 8 der Charta garantierten Rechte dar ( 55 ).

71. Der Gerichtshof hat ebenfalls bereits entschieden, dass PNR-Daten wie die in Anhang I aufgezählten Informationen über bestimmte natürliche Personen, und zwar die betroffenen Fluggäste, enthalten und dass daher die verschiedenen Verarbeitungen, die mit den PNR-Daten vorgenommen werden können, das Grundrecht auf Achtung des Privatlebens, das in Art. 7 der Charta garantiert ist, berühren. Diese Verarbeitungen fallen zudem unter Art. 8 der Charta und müssen deshalb zwangsläufig die dort vorgesehenen Erfordernisse des Datenschutzes erfüllen ( 56 ).

72. Daher stellen nach der PNR-Richtlinie zulässige Verarbeitungen von PNR-Daten, insbesondere – was für die Zwecke der vorliegenden Rechtssache von Interesse ist – die Übermittlung dieser Daten durch die Fluggesellschaften an die PNR-Zentralstellen, ihre Verwendung durch die PNR-Zentralstellen, ihre spätere Übermittlung an zuständige nationale Behörden im Sinne von Art. 7 der PNR-Richtlinie und ihre Aufbewahrung, lauter Eingriffe in die durch die Art. 7 und 8 der Charta garantierten Grundrechte dar.

73. Zur Schwere dieser Eingriffe ist erstens zu bemerken, dass die PNR-Richtlinie eine systematische und kontinuierliche Übermittlung der PNR-Daten aller Fluggäste im Sinne von Art. 3 Nr. 4 dieser Richtlinie auf einem „Drittstaatsflug“ im Sinne von deren Art. 3 Nr. 2 an die PNR-Zentralstellen vorsieht. Eine solche Übermittlung impliziert einen allgemeinen Zugang der PNR-Zentralstellen zu allen gemeldeten PNR-Daten ( 57 ). Diese Feststellung wird entgegen dem von einigen Mitgliedstaaten im vorliegenden Verfahren angeführten Vorbringen nicht durch den Umstand in Frage gestellt, dass die Daten einer automatisierten Verarbeitung unterliegen und die PNR-Zentralstellen deshalb konkret nur zu den Daten Zugang haben werden, deren Auswertung zu einem positiven Ergebnis geführt hat. Zum einen hat ein solcher Umstand den Gerichtshof bisher nämlich nicht daran gehindert, im Rahmen ähnlicher Systeme zur automatisierten Verarbeitung „lose“ gesammelter oder auf Vorrat gespeicherter personenbezogener Daten den allgemeinen Charakter des Zugangs der betreffenden öffentlichen Stellen zu solchen Daten zu bejahen. Zum anderen bringt die bloße Weiterleitung personenbezogener Daten an öffentliche Stellen zur Verarbeitung und Aufbewahrung durch diese Stellen von vornherein deren allgemeinen und vollständigen Zugang zu solchen Daten und einen Eingriff in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten mit sich.

74. Zweitens können die Mitgliedstaaten gemäß Art. 2 Abs. 1 der PNR-Richtlinie entscheiden, diese auf „EU-Flüge“ im Sinne von deren Art. 3 Nr. 3 anzuwenden. Ich stelle insoweit zum einen fest, dass die PNR-Richtlinie nicht lediglich die Befugnis der Mitgliedstaaten vorsieht, sie auf EU-Flüge auszuweiten, sondern auch die formellen und materiellen Voraussetzungen für die Ausübung dieser Befugnis festlegt ( 58 ) und klarstellt, dass, wenn die Befugnis nur für ausgewählte EU-Flüge ausgeübt wird, die Auswahl der Flüge unter Berücksichtigung der mit der Richtlinie verfolgten Ziele zu erfolgen hat ( 59 ). Zum anderen legt die PNR-Richtlinie fest, welche Folgen die Ausübung einer solchen Befugnis hat, indem sie in ihrem Art. 2 Abs. 2 vorsieht, dass, wenn ein Mitgliedstaat beschließt, diese Richtlinie auf EU-Flüge anzuwenden, alle Richtlinienbestimmungen „für EU-Flüge so [gelten], als handele es sich um Drittstaatsflüge, und für PNR-Daten zu EU-Flügen so, als handele es sich um PNR-Daten zu Drittstaatsflügen“.

75. Unter diesen Umständen bin ich entgegen dem Vorbringen mancher Regierungen, die im vorliegenden Verfahren Erklärungen abgegeben haben, der Ansicht, dass die PNR-Richtlinie, obwohl ihre Anwendung auf EU-Flüge von einer Entscheidung der Mitgliedstaaten abhängt, die Rechtsgrundlage für Eingriffe in die Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten im Zusammenhang mit der Übermittlung, Verarbeitung und Aufbewahrung der PNR-Daten zu diesen Flügen bildet, wenn eine solche Entscheidung getroffen wird.

76. Abgesehen vom Königreich Dänemark, das der PNR-Richtlinie nicht unterliegt ( 60 ), wenden fast alle Mitgliedstaaten das mit ihr geschaffene System auf „EU-Flüge“ an ( 61 ). Folglich gilt dieses System für alle Flüge in die Union und aus der Union sowie für nahezu alle Flüge innerhalb der Union.

77. Drittens sind, was die zu übermittelnden PNR-Daten angeht, in Anhang I 19 Rubriken aufgeführt, die sich auf biografische Angaben ( 62 ), Einzelheiten der Flugreise ( 63 ) und weitere im Kontext des Flugbeförderungsvertrags erhobene Daten wie beispielsweise Telefonnummer, E‑Mail-Adresse, Zahlungsinformationen, Reisebüro bzw. Sachbearbeiter, Gepäckangaben und allgemeine Hinweise ( 64 ) beziehen. Wie der Gerichtshof in Rn. 128 des Gutachtens 1/15 zu den Rubriken im Anhang des Entwurfs eines Abkommens zwischen Kanada und der Europäischen Union über die Übermittlung und Verarbeitung von Fluggastdatensätzen (im Folgenden: Entwurf eines PNR-Abkommens Kanada–EU), die weitgehend analog zu denen von Anhang I formuliert sind, ausgeführt hat, „können die PNR-Daten, auch wenn einige von ihnen für sich genommen nicht geeignet sein dürften, bedeutsame Informationen über das Privatleben der betreffenden Personen zu liefern, zusammen betrachtet u. a. einen gesamten Reiseverlauf, Reisegewohnheiten, Beziehungen zwischen zwei oder mehreren Personen sowie Informationen über die finanzielle Situation der Fluggäste, ihre Ernährungsgewohnheiten oder ihren Gesundheitszustand offenbaren und sogar sensible Daten über die Fluggäste … liefern“.

78. Viertens sind die von Fluggesellschaften übermittelten Daten gemäß Art. 6 der PNR-Richtlinie dazu bestimmt, von den PNR-Zentralstellen durch automatisierte Verfahren analysiert zu werden, und zwar systematisch, d. h. unabhängig von der Frage, ob es den geringsten Hinweis darauf gibt, dass die betreffenden Personen möglicherweise an terroristischen Straftaten oder schwerer Kriminalität beteiligt sind. Insbesondere können die Daten im Rahmen der in Art. 6 Abs. 2 Buchst. a dieser Richtlinie vorgesehenen Vorabüberprüfung von Fluggästen gemäß Abs. 3 durch Abgleich mit „maßgeblichen“ Datenbanken überprüft (Art. 6 Abs. 3 Buchst. a) und anhand im Voraus festgelegter Kriterien abgeglichen (Art. 6 Abs. 3 Buchst. b) werden. Durch die erste Art der Verarbeitung können weitere Informationen über das Privatleben der betreffenden Fluggäste erlangt werden ( 65 ); je nach den für den Abgleich verwendeten Datenbanken kann damit sogar ein klares Profil dieser Personen erstellt werden. Daher spiegelt der von mehreren Regierungen erhobene Einwand, wonach die PNR-Richtlinie lediglich Zugang zu einem vergleichsweise kleinen Bestand personenbezogener Daten gestatte, das potenzielle Ausmaß der mit dieser Richtlinie verbundenen Eingriffe in die durch die Art. 7 und 8 der Charta geschützten Grundrechte unter dem Gesichtspunkt des Umfangs der Daten, zu denen sie den Zugang gestatten könnte, nicht angemessen wider. Bezüglich der in Art. 6 Abs. 3 Buchst. b der PNR-Richtlinie vorgesehenen zweiten Art der Datenverarbeitung sei darauf hingewiesen, dass jeder auf im Voraus festgelegten Kriterien beruhende Analysetyp, wie der Gerichtshof in den Rn. 169 und 172 des Gutachtens 1/15 hervorgehoben hat, eine gewisse Fehlerquote, insbesondere eine Reihe „falsch positiver“ Ergebnisse, aufweist. Laut dem Zahlenmaterial im Arbeitspapier der Kommissionsdienststellen ( 66 ) (im Folgenden: Arbeitspapier von 2020), das dem Bericht der Kommission von 2020 als Anhang beigefügt ist, ist die Zahl der Treffer, die sich bei der in Art. 6 Abs. 5 der PNR-Richtlinie vorgesehenen individuellen Überprüfung als falsch erwiesen hat, erheblich und belief sich während der Jahre 2018 und 2019 auf wenigstens fünf von sechs identifizierten Personen ( 67 ).

79. Fünftens werden die PNR-Daten gemäß Art. 12 Abs. 1 der PNR-Richtlinie für einen Zeitraum von fünf Jahren ab ihrer Übermittlung an die PNR-Zentralstelle des Mitgliedstaats, in dessen Hoheitsgebiet der Flug angekommen bzw. von dem er abgegangen ist, in einer bei dieser PNR-Zentralstelle angesiedelten Datenbank vorgehalten. Die PNR-Richtlinie ermöglicht es daher, während eines besonders langen Zeitraums über Informationen über das Privatleben der Fluggäste zu verfügen ( 68 ). Da die Übermittlung von PNR-Daten nahezu sämtliche Flüge aus der Union und in die Union sowie innerhalb der Union betrifft und das Flugzeug ein eher gebräuchliches Transportmittel geworden ist, könnten die personenbezogenen Daten eines bedeutenden Teils der Fluggäste darüber hinaus praktisch dauerhaft vorgehalten werden, und zwar schon dann, wenn sie sich wenigstens zwei Mal alle fünf Jahre mit dem Flugzeug fortbewegen.

80. Schließlich sieht die PNR-Richtlinie in allgemeinerer Hinsicht Maßnahmen vor, mit denen zusammen betrachtet auf Unionsebene ein Überwachungssystem geschaffen werden soll, das „nicht zielgerichtet“, d. h. nicht durch einen auf einer bestimmten Person oder mehreren bestimmten Personen lastenden Verdacht ausgelöst, „massiv“, da es sich auf die personenbezogenen Daten einer großen Zahl von Individuen auswirkt ( 69 ), die eine Personengruppe in ihrer Gesamtheit abdecken ( 70 ), und „proaktiv“ ist, da mit ihm nicht nur bekannte Bedrohungen untersucht, sondern auch bislang unbekannte Gefahren erkannt oder identifiziert werden sollen ( 71 ). Solche Maßnahmen führen naturgemäß zu schweren Eingriffen in die durch die Art. 7 und 8 der Charta geschützten Grundrechte ( 72 ), was u. a. mit ihrem präventiven und prädiktiven Zweck zusammenhängt, der eine Auswertung personenbezogener Daten zu breiten Bevölkerungssegmenten erfordert, wobei das Ziel darin besteht, Personen zu „identifizieren“, die je nach Ergebnis dieser Auswertung einer eingehenderen Prüfung durch die zuständigen Behörden unterzogen werden sollten ( 73 ). Darüber hinaus haben der vermehrte Rückgriff auf die Verarbeitung großer, „lose“ gesammelter Mengen personenbezogener Daten unterschiedlichster Natur sowie ihre Verknüpfung und kombinierte Verarbeitung eine „kumulative Wirkung“, die die Einschränkungen der Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten verstärkt und Gefahr läuft, einen Prozess des schrittweisen Übergangs in eine „Überwachungsgesellschaft“ zu fördern ( 74 ).

81. Nach alledem muss der mit der PNR-Richtlinie verbundene Eingriff in die durch die Art. 7 und 8 der Charta geschützten Grundrechte meiner Ansicht nach zumindest als „schwer“ eingestuft werden.

82. Zwar könnte, wie insbesondere die Kommission vorträgt, die Gesamtheit der Garantien und Schutzvorkehrungen, die in der PNR-Richtlinie vorgesehen ist, um insbesondere eine missbräuchliche Verwendung der PNR-Daten zu verhindern, die Intensität oder Schwere dieser Eingriffe verringern. Gleichwohl weist jedes System, das den Zugang zu personenbezogenen Daten und deren Verarbeitung durch öffentliche Stellen vorsieht, unter dem Blickwinkel des Schutzes der in Mitleidenschaft gezogenen Grundrechte bereits aufgrund seiner objektiven Merkmale einen gewissen Schweregrad auf. Diesen Schweregrad gilt es nach meinem Dafürhalten zu bestimmen, bevor im Rahmen der Prüfung der Verhältnismäßigkeit der Eingriffe bewertet wird, ob die systemseitig vorgesehenen Garantien hinreichend und angemessen sind. Meines Erachtens ist der Gerichtshof bisher jedenfalls so vorgegangen.

83. Um mit der Charta vereinbar zu sein, müssen die mit der PNR-Richtlinie verbundenen Eingriffe in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten die Voraussetzungen erfüllen, die in den Nrn. 65 und 66 der vorliegenden Schlussanträge aufgeführt sind, was innerhalb der vom vorlegenden Gericht gezogenen Grenzen im Folgenden untersucht werden soll.

3. Zur Rechtfertigung des sich aus der PNR-Richtlinie ergebenden Eingriffs

84. Während sich die dritte Vorlagefrage auf die Einhaltung der in Art. 52 Abs. 1 Satz 1 der Charta genannten Voraussetzung bezieht, wonach jeder Eingriff in ein Grundrecht „gesetzlich vorgesehen“ sein muss, wird der Gerichtshof mit der zweiten, der vierten, der sechsten und der achten Vorlagefrage u. a. zur Einhaltung des Grundsatzes der Verhältnismäßigkeit befragt, auf den Satz 2 dieser Vorschrift abstellt.

a) Zur Einhaltung des Erfordernisses, wonach jede Einschränkung der Ausübung eines in der Charta vorgesehenen Grundrechts gesetzlich vorgesehen sein muss

85. Nach gefestigter Rechtsprechung des Gerichtshofs ( 75 ), die sich an der Rechtsprechung des EGMR ( 76 ) orientiert, zielt das Erfordernis, wonach jede Einschränkung der Ausübung eines Grundrechts „gesetzlich vorgesehen“ sein muss, nicht nur auf die „rechtliche“ Herkunft des Eingriffs – die in der vorliegenden Rechtssache nicht in Rede steht – ab, sondern bedeutet auch, dass die Rechtsgrundlage für diesen Eingriff dessen Tragweite selbst klar und präzise festlegen muss. Da sich der zweite Teil des Ausdrucks „gesetzlich vorgesehen“ im Sinne von sowohl Art. 52 Abs. 1 der Charta als auch deren Art. 8 Abs. 2 und Art. 8 EMRK auf die „Qualität des Gesetzes“ und damit auf die Zugänglichkeit und Vorhersehbarkeit der fraglichen Maßnahme bezieht ( 77 ), soll er nicht nur die Wahrung des Legalitätsgrundsatzes und einen angemessenen Schutz gegen Willkür gewährleisten ( 78 ), sondern genügt ebenfalls einem Gebot der Rechtssicherheit. Dieses Erfordernis wird auch in der Stellungnahme des Beratenden Ausschusses des Übereinkommens Nr. 108 ( 79 ) vom 19. August 2016 zu den Auswirkungen der Verarbeitung von Passagierdaten im Bereich des Datenschutzes (im Folgenden: Stellungnahme vom 19. August 2016) ( 80 ) aufgestellt.

86. Mit der Annahme der PNR-Richtlinie hat der Unionsgesetzgeber die in den Art. 7 und 8 der Charta niedergelegten Rechte selbst eingeschränkt. Daher können die nach der Richtlinie zulässigen Eingriffe in diese Rechte trotz des Ermessensspielraums, über den die Mitgliedstaaten zum Zeitpunkt ihrer Umsetzung in nationales Recht verfügten, nicht als Folge einer Entscheidung der Mitgliedstaaten angesehen werden ( 81 ), sondern finden ihre Rechtsgrundlage in der PNR-Richtlinie selbst. Unter diesen Umständen hatte der Unionsgesetzgeber, um der in Nr. 85 der vorliegenden Schlussanträge in Erinnerung gerufenen Rechtsprechung sowie den „hohen Schutzstandards“ für Grundrechte insbesondere in der Charta und in der EMRK, auf die sich der 15. Erwägungsgrund der PNR-Richtlinie bezieht, zu entsprechen, klare und präzise Regeln aufzustellen, aus denen sich sowohl die Tragweite als auch die Anwendung der Maßnahmen, die die Eingriffe beinhalten, ergeben.

87. Mit seiner dritten Vorlagefrage fragt das vorlegende Gericht zwar speziell nach der Einhaltung der Verpflichtung in Bezug auf Anhang I Nrn. 12 und 18; bei der Prüfung der zweiten, der vierten und der sechsten Vorlagefrage, mit denen dieses Gericht an der Erforderlichkeit der mit der PNR-Richtlinie verbundenen Eingriffe in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte zweifelt, wird aber auch zu der Frage Stellung genommen werden müssen, ob die beanstandeten Bestimmungen der PNR-Richtlinie hinreichend klar und präzise sind.

88. Obwohl sich diese Würdigung, wie ich in Nr. 85 der vorliegenden Schlussanträge dargelegt habe, auf die Rechtmäßigkeit des Eingriffs im Sinne von Art. 52 Abs. 1 Satz 1 der Charta bezieht, werde ich darauf – entsprechend dem Ansatz, dem sowohl der Gerichtshof als auch der EGMR in Rechtssachen folgt, in denen es um Maßnahmen geht, die die Verarbeitung personenbezogener Daten zum Gegenstand haben – erst im Rahmen der Prüfung der Verhältnismäßigkeit des Eingriffs eingehen, auf die Satz 2 abstellt ( 82 ).

b) Zur Achtung des Wesensgehalts der in den Art. 7 und 8 der Charta niedergelegten Rechte

89. Gemäß Art. 52 Abs. 1 Satz 1 der Charta muss jede Einschränkung der Ausübung der Grundrechte nicht nur auf einer hinreichend genauen Rechtsgrundlage beruhen, sondern auch den Wesensgehalt dieser Rechte achten.

90. Wie ich in Nr. 66 der vorliegenden Schlussanträge dargelegt habe, ist dieses Erfordernis – das sich in den Verfassungen verschiedener Mitgliedstaaten wiederfindet ( 83 ) und das, obwohl es vom EGMR nicht ausdrücklich anerkannt wird, in dessen Rechtsprechung gleichwohl gut verankert ist ( 84 ) – in Art. 52 Abs. 1 der Charta enthalten ( 85 ). Nachdem der Gerichtshof ein solches Erfordernis bereits vor dessen Kodifizierung anerkannt hatte ( 86 ), ist es in der Rechtsprechung der Gerichte der Union auch nach Inkrafttreten des Vertrags von Lissabon immer wieder bekräftigt worden.

91. Insbesondere aus dem Urteil vom 6. Oktober 2015, Schrems ( 87 ), geht hervor, dass die Verletzung des Wesensgehalts eines Grundrechts durch einen Unionsrechtsakt automatisch dessen Nichtigkeit oder Ungültigkeit nach sich zieht, ohne dass es erforderlich ist, eine Abwägung der auf dem Spiel stehenden Interessen vorzunehmen. Der Gerichtshof erkennt daher an, dass jedes Grundrecht einen „harten Kern“ hat, der dem Einzelnen einen Freiheitsbereich frei von staatlichen Eingriffen garantiert und der nicht eingeschränkt werden kann ( 88 ), ohne das Demokratieprinzip sowie die Grundsätze der Rechtsstaatlichkeit und der Achtung der Menschenwürde, die dem Grundrechtsschutz zugrunde liegen, in Frage zu stellen. Sowohl aus dem Wortlaut von Art. 52 Abs. 1 der Charta als auch aus der Rechtsprechung des Gerichtshofs, insbesondere dem Urteil Schrems I, ergibt sich ferner, dass die Beurteilung der Frage, ob ein Eingriff in den Wesensgehalt des in Rede stehenden Grundrechts vorliegt, vor der Bewertung der Verhältnismäßigkeit der beanstandeten Maßnahme und unabhängig von dieser vorgenommen werden muss. Es handelt sich mit anderen Worten um eine eigenständige Prüfung.

92. Allerdings ist die Bestimmung dessen, was der „Wesensgehalt“ eines Grundrechts, das in seiner Ausübung eingeschränkt werden könnte, und daher unantastbar ist, ein äußerst komplexer Vorgang. Auch wenn dieser Begriff, um seine Funktion zu erfüllen, in Anbetracht der wesentlichen Merkmale des in Rede stehenden Grundrechts, der subjektiven und objektiven Ziele, die er schützen will, und ganz allgemein seiner Funktion in einer demokratischen Gesellschaft, die sich auf die Achtung der Menschenwürde gründet, absolut definiert werden können sollte ( 89 ), erweist sich ein solcher Vorgang in der Praxis als nahezu unmöglich, zumindest ohne Kriterien, die üblicherweise bei der Prüfung der Verhältnismäßigkeit des Eingriffs in das fragliche Recht herangezogen werden, wie beispielsweise die Schwere dieses Eingriffs, sein Ausmaß oder seine zeitliche Dimension, zu berücksichtigen, ohne also den Besonderheiten des Einzelfalls Rechnung zu tragen.

93. Was insbesondere das Grundrecht auf Achtung des Privatlebens angeht, so ist nicht nur zu berücksichtigen, welche Bedeutung es für die geistige und körperliche Gesundheit jedes Menschen, sein Wohlbefinden, seine Autonomie, seine persönliche Entfaltung, seine Fähigkeit, soziale Beziehungen aufzubauen und zu pflegen, sowie dafür hat, dass er über eine Privatsphäre verfügt, in der er seine persönliche Innerlichkeit entwickeln kann, sondern auch, welche Rolle dieses Recht für den Schutz anderer Rechte und Freiheiten wie insbesondere der Gedanken‑, der Gewissens‑, der Religions‑, der Ausdrucks- und der Informationsfreiheit, deren uneingeschränkter Genuss die Wahrung einer Intimsphäre voraussetzt, spielt. Ganz allgemein ist der Funktion Rechnung zu tragen, die die Achtung des Rechts auf Privatleben in einer demokratischen Gesellschaft erfüllt ( 90 ). Der Gerichtshof scheint das Vorliegen einer Beeinträchtigung des Wesensgehalts dieses Rechts zu prüfen, indem er sowohl die Intensität als auch das Ausmaß des Eingriffs betrachtet, was zu der Annahme führt, dass eine solche Beeinträchtigung eher quantitativ als qualitativ definiert wird. So hat der Gerichtshof zum einen im Urteil Digital Rights im Wesentlichen die Auffassung vertreten, dass die durch die Richtlinie 2006/24/EG ( 91 ) auferlegte Pflicht zur Vorratsspeicherung von Daten keinen solchen Schweregrad erreichte, dass sie sich auf den Wesensgehalt des Rechts auf Achtung des Privatlebens auswirken würde, da sie „die Kenntnisnahme des Inhalts elektronischer Kommunikation als solchen“ nicht gestattete ( 92 ). Zum anderen ist der Gerichtshof im Gutachten 1/15 im Wesentlichen davon ausgegangen, dass eine Einschränkung, die auf bestimmte Aspekte des Privatlebens der betreffenden Personen beschränkt ist, nicht zu einem Eingriff in den Wesensgehalt dieses Grundrechts führen kann ( 93 ).

94. Was das Grundrecht auf Schutz personenbezogener Daten betrifft, so scheint der Gerichtshof die Ansicht zu vertreten, dass der Wesensgehalt dieses Rechts gewahrt ist, wenn die Maßnahme, die den Eingriff begründet, die Zwecke der Verarbeitung begrenzt und Regeln vorsieht, mit denen die Sicherheit der betreffenden Daten, insbesondere gegen zufällige oder unrechtmäßige Zerstörung sowie zufälligen Verlust oder zufällige Änderung, gewährleistet wird ( 94 ).

95. In der vorliegenden Rechtssache hat das vorlegende Gericht das Erfordernis der Achtung des Wesensgehalts der in den Art. 7 und 8 der Charta niedergelegten Rechte zwar nicht ausdrücklich erwähnt, die Frage der Einhaltung dieses Erfordernisses liegt nach meinem Dafürhalten aber der vierten und der sechsten Vorlagefrage zugrunde. Deshalb schlage ich dem Gerichtshof vor, darauf einzugehen.

96. In Rn. 150 des Gutachtens 1/15 hat der Gerichtshof insoweit zwar anerkannt, dass PNR-Daten „unter Umständen sehr genaue Informationen über das Privatleben einer Person liefern können“ ( 95 ) und diese Informationen möglicherweise direkt oder indirekt sensible Daten der betreffenden Person offenlegen ( 96 ), in Bezug auf den Entwurf eines PNR-Abkommens Kanada–EU gleichwohl aber den Schluss gezogen, dass, da die „Art dieser Informationen auf bestimmte Aspekte dieses Privatlebens beschränkt [ist], die insbesondere Flugreisen zwischen Kanada und der Union betreffen“, die Verletzung des Grundrechts auf Achtung des Privatlebens nicht geeignet ist, den Wesensgehalt dieses Rechts zu beeinträchtigen.

97. Abgesehen von dem Umstand, dass die PNR-Daten, auf die sich der Entwurf eines PNR-Abkommens Kanada–EU bezieht, an einen Drittstaat übermittelt und von den Behörden dieses Drittstaats in dessen Hoheitsgebiet weiterverarbeitet werden mussten, stimmen die sich aus dem Abkommensentwurf ergebenden Eingriffe in das Grundrecht auf Achtung des Privatlebens und die in der PNR-Richtlinie vorgesehenen Eingriffe ihrem Wesen nach weitgehend überein. Dies gilt insbesondere für die genannten PNR-Daten, den systematischen und allgemeinen Charakter der Übermittlung und Verarbeitung dieser Daten, die Automatisierung der Verarbeitung sowie die Vorratsspeicherung der Daten. Was die beiden Rechtssachen hingegen unterscheidet, ist sozusagen die „geografische Abdeckung“ dieser Eingriffe. Wie ich in Nr. 77 der vorliegenden Schlussanträge ausgeführt habe, sind die in der vorliegenden Rechtssache in Rede stehenden Datenverarbeitungen nämlich nicht auf Flugverbindungen mit einem einzigen Drittland beschränkt, wie es im Gutachten 1/15 der Fall war, sondern beziehen sich auf nahezu sämtliche Flüge in die Union und aus der Union sowie innerhalb der Union. Folglich müssen nach der PNR-Richtlinie – verglichen mit dem Entwurf eines PNR-Abkommens Kanada–EU – deutlich mehr Daten zu Fluggästen, die sich mit dem Flugzeug innerhalb und außerhalb der Union fortbewegen, systematisch verarbeitet werden. Außerdem ist ihre Verarbeitung angesichts der Zunahme der Menge verarbeiteter Daten und der Häufigkeit ihrer Erhebung vermutlich geeignet, sowohl genauere als auch umfassendere Informationen über das Privatleben der betreffenden Personen (Reisegewohnheiten, persönliche Beziehungen, finanzielle Situationen, usw.) zu liefern.

98. Gleichwohl beziehen sich diese Informationen, wie im Gutachten 1/15 der Fall, isoliert betrachtet nur auf bestimmte Aspekte des Privatlebens im Zusammenhang mit Flugreisen. Unter Berücksichtigung der Notwendigkeit, den Begriff „Wesensgehalt“ der Grundrechte eng auszulegen, damit er seine Funktion eines Bollwerks gegen Angriffe auf die eigentliche Substanz dieser Rechte behält, bin ich jedoch der Ansicht, dass die Schlussfolgerung, zu der der Gerichtshof in Rn. 150 des Gutachtens 1/15 gelangt ist, auf die vorliegende Rechtssache übertragen werden kann.

99. Im Gutachten 1/15 hat der Gerichtshof auch eine Beeinträchtigung des Wesensgehalts des Rechts auf Schutz personenbezogener Daten ausgeschlossen ( 97 ). Diese Schlussfolgerung ist aus meiner Sicht ebenfalls auf die Umstände der vorliegenden Rechtssache übertragbar. Wie der Entwurf eines PNR-Abkommens Kanada–EU begrenzt die PNR-Richtlinie in ihrem Art. 1 Abs. 2 nämlich die Zwecke der Verarbeitung von PNR-Daten. Darüber hinaus enthalten die PNR-Richtlinie und die anderen Unionsrechtsakte, auf die sie verweist, insbesondere die DSGVO und die Polizei-Richtlinie, spezifische Bestimmungen, mit denen insbesondere die Sicherheit, die Vertraulichkeit und die Integrität der Daten gewährleistet und diese vor unbefugten Zugriffen und unrechtmäßiger Verarbeitung geschützt werden sollen. Auch wenn nicht davon ausgegangen werden kann, dass eine Regelung wie die in der PNR-Richtlinie vorgesehene den Wesensgehalt der durch die Art. 7 und 8 der Charta geschützten Grundrechte antastet, muss sie gleichwohl einer strengen Verhältnismäßigkeitskontrolle unterworfen werden.

c) Zur Einhaltung des Erfordernisses, wonach der Eingriff einer dem Gemeinwohl dienenden Zielsetzung entsprechen muss

100. Mit der PNR-Richtlinie soll u. a. für die innere Sicherheit der Union gesorgt und das Leben und die Sicherheit von Personen durch Übermittlung von PNR-Daten an die zuständigen Behörden der Mitgliedstaaten zur Verwendung im Rahmen der Bekämpfung des Terrorismus und schwerer Kriminalität geschützt werden ( 98 ).

101. Genauer gesagt geht aus Art. 1 Abs. 2 der PNR-Richtlinie in Verbindung mit deren Erwägungsgründen 6 und 7 sowie dem Vorschlag der Kommission, der zum Erlass dieser Richtlinie geführt hat (im Folgenden: Vorschlag für eine PNR-Richtlinie) ( 99 ), hervor, dass PNR-Daten von den Strafverfolgungsbehörden ( 100 ) im Rahmen eines solchen Ziels auf verschiedene Weise verwendet werden. Erstens werden diese Daten verwendet, um Personen zu identifizieren, die an bereits begangenen terroristischen Straftaten und bereits begangener schwerer Kriminalität beteiligt oder mutmaßlich beteiligt sind, Beweise zusammenzutragen sowie gegebenenfalls Komplizen von Straftätern aufzuspüren und kriminelle Netze auszuheben („reaktive“ Verwendung). Zweitens können PNR-Daten vor Ankunft oder Abreise der Fluggäste ausgewertet werden, um die Begehung einer Straftat zu verhindern und Personen zu identifizieren, die bislang nicht im Verdacht standen, an terroristischen Straftaten oder schwerer Kriminalität beteiligt zu sein, und die aufgrund des Auswertungsergebnisses von den Strafverfolgungsbehörden genauer überprüft werden sollten (Verwendung in „Echtzeit“). Schließlich werden PNR-Daten verwendet, um Prüfkriterien zu bestimmen, die für eine Überprüfung der Fluggäste vor ihrer Ankunft oder Abreise herangezogen werden können („proaktive“ Verwendung). Durch eine solche proaktive Verwendung von PNR-Daten sollte es den Strafverfolgungsbehörden möglich sein, die Bedrohung durch schwere Kriminalität und Terrorismus anders anzugehen als durch Verarbeitung anderer Kategorien personenbezogener Daten ( 101 ).

102. Aus der Rechtsprechung des Gerichtshofs geht hervor, dass das Ziel des Schutzes der öffentlichen Sicherheit, das u. a. die Verhütung, Ermittlung, Feststellung und Verfolgung sowohl von terroristischen Straftaten als auch von Straftaten umfasst, die der schweren Kriminalität zuzuordnen sind, eine dem Gemeinwohl dienende Zielsetzung der Union im Sinne von Art. 52 Abs. 1 der Charta darstellt, die auch schwere Eingriffe in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte rechtfertigen kann ( 102 ).

103. Der Gerichtshof hat darüber hinaus anerkannt, dass die Ziele der Wahrung der öffentlichen Sicherheit und der Bekämpfung schwerer Kriminalität zum Schutz der Rechte und Freiheiten anderer beitragen ( 103 ). So ist bei einer ausgewogenen Gewichtung dieser Ziele und den in den Art. 7 und 8 der Charta niedergelegten Grundrechten ( 104 ) auch die Bedeutung der in den Art. 3, 4, 6 und 7 der Charta niedergelegten Rechte zu berücksichtigen. Im Urteil La Quadrature du Net hat der Gerichtshof insoweit zwar die Auffassung vertreten, dass Art. 6 der Charta „nicht dahin ausgelegt werden [kann], dass er die staatlichen Stellen verpflichtet, spezifische Maßnahmen zur Ahndung bestimmter Straftaten zu erlassen“ ( 105 ); in Bezug insbesondere auf die wirksame Bekämpfung von Straftaten, deren Opfer u. a. Minderjährige und andere schutzbedürftige Personen sind, hat er hingegen hervorgehoben, dass sich aus Art. 7 der Charta positive Verpflichtungen der Behörden im Hinblick auf den Erlass rechtlicher Maßnahmen zum Schutz des Privat- und Familienlebens sowie aus deren Art. 3 und 4 hinsichtlich des Schutzes der körperlichen und geistigen Unversehrtheit der Menschen sowie des Verbots der Folter und unmenschlicher oder erniedrigender Behandlung ergeben können ( 106 ).

104. Schließlich ist der Gerichtshof davon ausgegangen, dass die Bedeutung des Ziels des Schutzes der nationalen Sicherheit die der Ziele, die Kriminalität im Allgemeinen, auch schwere Kriminalität, zu bekämpfen und die öffentliche Sicherheit zu schützen, übersteigt und dass es daher geeignet ist, Maßnahmen zu rechtfertigen, die schwerere Grundrechtseingriffe enthalten als solche, die mit den übrigen Zielen gerechtfertigt werden könnten ( 107 ). Da terroristische Handlungen Bedrohungen der nationalen Sicherheit der Mitgliedstaaten darstellen können, trägt das mit der PNR-Richtlinie geschaffene System, soweit es als Instrument zur Bekämpfung solcher Handlungen dient, zum Ziel des Schutzes der nationalen Sicherheit der Mitgliedstaaten bei.

d) Zur Wahrung des Grundsatzes der Verhältnismäßigkeit

105. Nach Art. 52 Abs. 1 Satz 2 der Charta dürfen Einschränkungen der Ausübung eines in der Charta anerkannten Grundrechts unter Wahrung des Grundsatzes der Verhältnismäßigkeit nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen.

106. Insoweit ist darauf hinzuweisen, dass der Grundsatz der Verhältnismäßigkeit nach ständiger Rechtsprechung des Gerichtshofs verlangt, dass die Handlungen der Unionsorgane geeignet sind, die mit der fraglichen Regelung zulässigerweise verfolgten Ziele zu erreichen, und nicht die Grenzen dessen überschreiten, was zur Erreichung dieser Ziele geeignet und erforderlich ist ( 108 ).

107. Nach ständiger Rechtsprechung des Gerichtshofs verlangt der Schutz des Grundrechts auf Achtung des Privatlebens auf Unionsebene, dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten auf das absolut Notwendige beschränken. Außerdem kann eine dem Gemeinwohl dienende Zielsetzung nicht verfolgt werden, ohne den Umstand zu berücksichtigen, dass sie mit den von der Maßnahme betroffenen Grundrechten in Einklang gebracht werden muss, indem eine ausgewogene Gewichtung der dem Gemeinwohl dienenden Zielsetzung und der fraglichen Rechte vorgenommen wird ( 109 ). Insbesondere ist die Verhältnismäßigkeit einer Beschränkung der in den Art. 7 und 8 der Charta niedergelegten Rechte zu beurteilen, indem die Schwere des mit einer solchen Beschränkung verbundenen Eingriffs bestimmt und geprüft wird, ob die verfolgte dem Gemeinwohl dienende Zielsetzung in angemessenem Verhältnis zur Schwere des Eingriffs steht ( 110 ).

108. Aus der Rechtsprechung des Gerichtshofs geht hervor, dass die PNR-Richtlinie als Rechtsgrundlage, mit der die in den Nrn. 70 bis 83 der vorliegenden Schlussanträge beschriebenen Eingriffe in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte verbunden sind, um dem Erfordernis der Verhältnismäßigkeit zu genügen, klare und präzise Regeln für die Tragweite und die Anwendung der Maßnahmen, die solche Eingriffe enthalten, vorsehen und Mindesterfordernisse aufstellen muss, so dass die Personen, deren Daten übermittelt wurden, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer personenbezogenen Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung ermöglichen ( 111 ). Das Erfordernis, über solche Garantien zu verfügen, ist umso bedeutsamer, wenn die personenbezogenen Daten, wie im vorliegenden Fall, automatisch verarbeitet werden und es um den Schutz der besonderen Kategorie sensibler personenbezogener Daten geht ( 112 ).

109. Was den Umfang der gerichtlichen Überprüfung der Einhaltung der sich aus dem Grundsatz der Verhältnismäßigkeit ergebenden Erfordernisse anbelangt, so ist der Gestaltungsspielraum des Unionsgesetzgebers angesichts der besonderen Bedeutung des Schutzes personenbezogener Daten für das Grundrecht auf Achtung des Privatlebens und des mit der PNR-Richtlinie verbundenen Eingriffs in dieses Recht eingeschränkt, so dass die Kontrolle strikt sein muss ( 113 ).

1) Zur Eignung der in der PNR-Richtlinie vorgesehenen Verarbeitungen von PNR-Daten für die Verwirklichung des verfolgten Ziels

110. Wie der Gerichtshof in Rn. 153 des Gutachtens 1/15 in Bezug auf den Entwurf eines PNR-Abkommens Kanada–EU festgestellt hat, kann davon ausgegangen werden, dass die Übermittlung der PNR-Daten an Kanada und ihre anschließende Verarbeitung geeignet sind, die Verwirklichung des Ziels des Schutzes der öffentlichen Sicherheit zu gewährleisten. Diese Eignung, die sowohl auf Unionsebene als auch auf globaler Ebene seit langem anerkannt ist ( 114 ), scheint mir in Bezug auf die Erhebung und Weiterverarbeitung von PNR-Daten zu Drittstaatsflügen und EU-Flügen nicht in Frage gestellt werden zu können ( 115 ).

111. Allerdings muss die Wirksamkeit des mit der Richtlinie geschaffenen Systems zur Verarbeitung von PNR-Daten durch eine Beurteilung der Ergebnisse seiner Anwendung konkret bewertet werden ( 116 ). Unter diesem Blickwinkel ist es von wesentlicher Bedeutung, dass die Wirksamkeit Gegenstand einer kontinuierlichen Bewertung auf der Grundlage möglichst präziser und zuverlässiger statistischer Daten ist ( 117 ). Die Kommission sollte insoweit regelmäßig eine Überprüfung analog zu der bereits in Art. 19 der PNR-Richtlinie vorgesehenen vornehmen.

2) Zur absoluten Notwendigkeit des Eingriffs

112. Obwohl der Verfassungsgerichtshof nicht ausdrücklich daran gezweifelt hat, dass die PNR-Richtlinie klare, präzise und auf das absolut Notwendige beschränkte Regeln für die Abgrenzung der Zwecke der Verarbeitungen von PNR-Daten enthält ( 118 ), muss bei der vom vorlegenden Gericht erbetenen Prüfung der Verhältnismäßigkeit des in dieser Richtlinie vorgesehenen Systems nach meinem Dafürhalten darauf eingegangen werden ( 119 ).

i) Zur Abgrenzung der Zwecke der Verarbeitung von PNR-Daten

113. Eine klare Abgrenzung der Zwecke, für die der Zugang zu personenbezogenen Daten und ihre anschließende Verwendung durch die zuständigen Behörden zulässig sind, stellt eine grundlegende Anforderung an jedes System zur Verarbeitung von Daten insbesondere zu Strafverfolgungszwecken dar. Diese Anforderung muss darüber hinaus erfüllt sein, damit der Gerichtshof die Verhältnismäßigkeit der in Rede stehenden Maßnahmen beurteilen kann, indem er die in seiner Rechtsprechung entwickelte Prüfung des Verhältnisses zwischen der Schwere des Eingriffs und der verfolgten Zielsetzung anwendet ( 120 ).

114. Der Gerichtshof hat u. a. im Urteil Digital Rights, in dem er die Richtlinie 2006/24 für ungültig erklärt hat, hervorgehoben, welche Bedeutung eine klare Abgrenzung der Zwecke von Maßnahmen hat, die mit Einschränkungen der Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten verbunden sind. In Rn. 60 dieses Urteils hat der Gerichtshof festgestellt, dass die Richtlinie 2006/24 „kein objektives Kriterium vorsieht, das es ermöglicht, den Zugang der zuständigen nationalen Behörden zu den Daten und deren spätere Nutzung zwecks Verhütung, Feststellung oder strafrechtlicher Verfolgung auf Straftaten zu beschränken, die im Hinblick auf das Ausmaß und die Schwere des Eingriffs in die in Art. 7 und Art. 8 der Charta verankerten Grundrechte als hinreichend schwer angesehen werden können, um einen solchen Eingriff zu rechtfertigen“, und sie im Gegenteil „in ihrem Art. 1 Abs. 1 lediglich allgemein auf die von jedem Mitgliedstaat in seinem nationalen Recht bestimmten schweren Straftaten Bezug [nimmt]“.

115. Art. 1 Abs. 2 der PNR-Richtlinie stellt ein allgemeines Kriterium zur Abgrenzung der Zwecke auf, wonach „[d]ie nach Maßgabe dieser Richtlinie erhobenen PNR-Daten … ausschließlich zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität … verarbeitet werden [dürfen]“. Im Gegensatz zur Richtlinie 2006/24 beschränkt sich die PNR-Richtlinie jedoch nicht auf das Aufstellen eines solchen Kriteriums, sondern definiert selbst in ihrem Art. 3 Nrn. 8 und 9 sowohl den Begriff „terroristische Straftaten“ als auch den Begriff „schwere Kriminalität“, Ersteren unter Verweis auf die Art. 1 bis 4 des Rahmenbeschlusses 2002/475/JI des Rates vom 13. Juni 2002 zur Terrorismusbekämpfung (ABl. 2002, L 164, S. 3) (ersetzt durch die Richtlinie [EU] 2017/541) ( 121 ) und Letzteren, indem zum einen in Anhang II die Kategorien von strafbaren Handlungen aufgeführt werden, die diesem Begriff entsprechen, und zum anderen eine Erheblichkeitsschwelle eingeführt wird, die sich nach der Höchstdauer der Freiheitsstrafe oder freiheitsentziehenden Maßregel der Sicherung richtet, mit der diese Straftaten bedroht sind.

116. Auch wenn sich die Handlungen, die gemäß Art. 3 Nr. 8 der PNR-Richtlinie als terroristische Straftaten eingestuft werden können, durch den Verweis auf die einschlägigen Bestimmungen der Richtlinie 2017/541 hinreichend klar und präzise kennzeichnen lassen und ihre Schwere für die Zwecke der Abwägung zwischen dem mit der PNR-Richtlinie verfolgten Ziel des Schutzes der öffentlichen Sicherheit und der Schwere des mit dieser Richtlinie verbundenen Eingriffs in die in den Art. 7 und 8 der Charta niedergelegten Grundrechte beurteilt werden kann, gilt das nicht ohne Weiteres für alle in Anhang II aufgeführten str