Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/I/I_00186/fnameorig_698382.html
Timestamp: 2018-06-25 02:50:03
Document Index: 383986744

Matched Legal Cases: ['§ 4', 'Art. 10', 'Art. 10', '§ 1', 'Art. 1', 'Art. 4', '§ 4', '§ 2', '§ 4', '§ 6', '§ 2', 'Art. 3', '§ 2', 'Art. 8', 'Art. 8', 'Art. 8', 'Art. 16', 'Art. 16', '§ 54', 'Art. 8', '§ 1', 'Art. 8', 'Art. 79', '§ 1', '§ 20', '§ 110', '§ 4', 'Art. 6', 'Art. 13', '§ 1', '§ 5', '§ 1', 'Art. 6', 'Art 9', 'Art. 6', '§ 1', '§ 1', '§ 57', '§ 1', '§ 5', 'Art. 6', '§ 4', '§ 1', '§ 102', '§ 210', '§ 6', '§ 7', 'Art. 6', 'Art. 6', 'Art. 12', 'Art. 12', 'Art. 13', '§ 50', 'Art. 13', '§ 5', '§ 4', '§ 1', '§ 1', '§ 39', 'Art. 6', '§ 6', 'Art. 12', '§ 4', '§ 1', '§ 91', '§ 74', '§ 57', '§ 4', 'Art. 12', '§ 57', '§ 8', '§ 7', 'Art. 9', '§ 1', '§ 4', 'Art. 9', 'Art. 7', '§ 8', 'Art. 11', 'Art. 11', '§ 1', '§ 8', '§ 4', '§ 4', '§ 4', '§ 5', '§ 57', '§ 6', '§ 9', 'Art. 13', 'Art. 12', 'Art. 15', '§ 112', 'Art. 14', '§ 2', '§ 99', '§ 22', '§ 2', '§ 11']

Der Gesetzesentwurf dient der Umsetzung der Richtlinie (EU) 2016/681 über die Verwendung von Fluggastdatensätzen (Passenger Name Record-Daten, im folgenden PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität, ABl. Nr. L 119 vom 04.05.2016 S. 132 (im Folgenden: PNR-Richtlinie), die bis zum 25. Mai 2018 in nationales Recht umzusetzen ist.
Die PNR-Richtlinie verpflichtet Fluggesellschaften zur Übermittlung der von ihnen bereits aktuell für die Abwicklung der Reise erhobenen Fluggastdaten an die nationale Fluggastdatenzentralstelle (Passenger Information Unit – PIU), die jeder Mitgliedstaat einzurichten hat und der die Verarbeitung der PNR-Daten obliegt. In Österreich wird die Fluggastdatenzentralstelle beim Bundeskriminalamt angesiedelt sein, was sich aus § 4 Abs. 3 Bundeskriminalamt-Gesetz ergibt. Zur entsprechenden Umsetzung der PNR-Richtlinie wird das Bundesgesetz über die Verarbeitung von Fluggastdaten zur Vorbeugung, Verhinderung und Aufklärung von terroristischen und bestimmten anderen Straftaten (PNR-Gesetz – PNR-G) geschaffen.
Ziel der PNR-Richtlinie ist die Bekämpfung von grenzüberschreitenden Aktivitäten in den Bereichen Terrorismus und schwerer Kriminalität durch die Verwendung von Fluggastdaten. Die Überprüfung der Fluggastdaten soll es den Sicherheitsbehörden, Staatsanwaltschaften, Gerichten, Zollbehörden, dem Abwehramt sowie dem Heeres-Nachrichtenamt im Rahmen ihrer Befugnisse sowie der engen Zweckbindung der PNR-Richtlinie ermöglichen, nicht nur bereits bekannte Personen zielgerichtet zu identifizieren, sondern auch solche Personen, die den zuständigen Behörden bislang nicht bekannt waren und die mit einer terroristischen Straftat oder einer Straftat von vergleichbarer Schwere in Zusammenhang stehen könnten.
Die Kompetenz des Bundes zur Erlassung eines diesem Entwurf entsprechenden Bundesgesetzes gründet sich auf Art. 10 Abs. 1 Z 6 („Strafrechtswesen“) und Art. 10 Abs. 1 Z 7 („Aufrechterhaltung der öffentlichen Ruhe, Ordnung und Sicherheit“) des Bundes-Verfassungsgesetzes – B-VG, BGBl. Nr. 1/1930.
Mit § 1 Abs. 1 wird der Anwendungsbereich festgelegt und Art. 1 Abs. 2 der PNR-Richtlinie umgesetzt, der die Bekämpfung von grenzüberschreitenden Aktivitäten in den Bereichen Terrorismus und schwerer Kriminalität zum Ziel hat. Dementsprechend dient das PNR-Gesetz der Vorbeugung, Verhinderung und Aufklärung von terroristischen und bestimmten anderen gerichtlich strafbaren Handlungen, die in dessen Anhang angeführt sind und national mit einer Freiheitsstrafe, deren Obergrenze mindestens drei Jahre beträgt, bedroht sind.
Zudem bestimmt Abs. 2 in Umsetzung von Art. 4 Abs. 1 der PNR-Richtlinie, dass eine nationale zentrale Stelle für die Verarbeitung von Fluggastdaten – die Fluggastdatenzentralstelle – beim Bundesministerium für Inneres eingerichtet wird. Gemäß § 4 Abs. 3 Bundeskriminalamt-Gesetz wird die Fluggastdatenzentralstelle im Bundeskriminalamt eingerichtet, sofern und solange in der Geschäftseinteilung des Bundesministeriums für Inneres nicht ausdrücklich eine andere Organisationseinheit mit der Wahrnehmung dieser Aufgabe betraut ist wird. Diese nimmt die Verarbeitung von Fluggastdaten für den Bundesminister für Inneres wahr, dem die Rolle des datenschutzrechtlichen Verantwortlichen zukommt. Es handelt sich bei der Fluggastdatenzentralstelle daher nicht um einen eigenständigen datenschutzrechtlichen Verantwortlichen.
Abs. 3 dient der Klarstellung, dass die Bestimmungen der StPO von diesem Bundesgesetz unberührt bleiben. Die vorgeschlagenen Ermittlungsmaßnahmen der Staatsanwaltschaften oder der Gerichte richten sich nach der StPO. Es sind somit insbesondere die darin normierten Bestimmungen hinsichtlich der Zuständigkeiten, der Form und des Inhalts derartiger Anordnungen oder gerichtlicher Bewilligungen (vgl. § 2 Abs. 4, § 4 Abs. 2, § 6 Abs. 2) und des Rechtsschutzes sowie der datenschutzrechtlichen Regelungen der StPO anzuwenden.
Mit § 2 werden Luftfahrtunternehmen, die Personen mit einem Luftfahrzeug aus einem Staat, der nicht Mitgliedstaat der Europäischen Union (Drittstaat) ist, nach Österreich oder aus Österreich in einen Drittstaat bringen, verpflichtet, Fluggastdaten an die Fluggastdatenzentralstelle zu übermitteln. Im Sinne der Definition in Art. 3 Z 1 der Richtlinie sind betroffene Luftfahrtunternehmen jene, die über eine gültige Betriebsgenehmigung oder eine gleichwertige Genehmigung verfügen, die es gestattet Fluggäste auf dem Luftweg zu befördern. Erfasst ist jeder Linien- oder Gelegenheitsflug eines Luftfahrtunternehmens, der von einem Drittstaat aus startet und das Hoheitsgebiet Österreichs zum Ziel hat oder von Österreich aus startet und einen Drittstaat zum Ziel hat, einschließlich Flüge mit Zwischenlandung in einem Mitgliedstaat oder Drittstaat. Gemäß Abs. 5 soll es dem Bundesminister für Inneres jedoch möglich sein, durch Verordnung den Anwendungsbereich auch auf Flüge aus einem Mitgliedstaat der Europäischen Union nach Österreich oder aus Österreich in einen Mitgliedstaat der Europäischen Union zu erstrecken. Ergibt sich aufgrund der Erfahrungswerte, dass die Erstreckung auf innereuropäische Flüge einen wesentlichen Erkenntnisgewinn hinsichtlich der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität bewirkt, soll von der Verordnungsermächtigung Gebrauch gemacht werden. Gründe für die Erlassung einer solchen Verordnung und somit die Anwendung des PNR-Gesetzes auch auf intraeuropäische Flüge können Situationen sowie Ereignisse sein, mit denen eine erhöhte Gefährdungslage einhergeht, wie etwa die österreichische Ratspräsidentschaft der Europäischen Union, internationale Gipfeltreffen, besonders sensible Staatsbesuche oder die Ausrichtung von Großereignisse, beispielsweise einer Fußball-Europameisterschaft.
§ 2 dient der Umsetzung und Konkretisierung von Art. 8 Abs. 1 Satz 1 PNR-Richtlinie.
Abs. 1 bestimmt den Personenkreis, für den Fluggastdaten zu übermitteln sind, sowie den Umfang der zu übermittelnden Fluggastdaten. Fluggastdaten sind für Fluggäste, einschließlich Transfer- und Transitfluggäste, die mit Zustimmung des Luftfahrtunternehmens in einem Luftfahrzeug befördert werden oder befördert werden sollen, an die Fluggastdatenzentralstelle zu übermitteln. Für diesen Personenkreis sind nur solche Daten zu übermitteln, die die Luftfahrtunternehmen ohnehin für die Abwicklung der Reise erheben. Es handelt sich hierbei um jene Angaben von Fluggästen, die die Luftfahrtunternehmen für ihre eigenen geschäftlichen Zwecke in ihren Buchungs-, Abfertigungs- oder sonstigen vergleichbaren Systemen erfassen und speichern. Fluggastdaten enthalten ausschließlich Informationen, die die Fluggäste insbesondere bei der Reservierung oder Buchung von Flügen oder beim Check-In eines Fluges zur Verfügung stellen. Luftfahrtunternehmen werden nicht dazu verpflichtet, weitere, über die von ihnen bereits erhobenen Fluggastdaten hinausgehende, Daten bei den Fluggästen zu erheben.
Zudem normiert Abs. 1 die Zeitpunkte, zu denen die Fluggastdaten elektronisch an die Fluggastdatenzentralstelle zu übermitteln sind. Hierbei werden die in Art. 8 Abs. 3 der PNR-Richtlinie genannten Zeitpunkte für die Übermittlung, nämlich 24 bis 48 Stunden vor der planmäßigen Abflugzeit sowie sofort nach Abschluss der passagierbezogenen Formalitäten (Abschluss des Boarding, somit nach Abfertigungsschluss, unmittelbar nachdem sich die Fluggäste vor dem Start an Bord des Flugzeugs begeben haben und keine Fluggäste mehr an Bord oder von Bord gelangen können), übernommen. Entsprechend der Regelung in Art. 8 Abs. 4 der PNR-Richtlinie kann sich die Datenübermittlung nach Abschluss des Boardings auf eine Aktualisierung der bereits übermittelten Daten beschränken.
In Umsetzung von Art. 16 der PNR-Richtlinie wird festgelegt, auf welche Art und Weise die Fluggastdaten an die Fluggastdatenzentralstelle zu übermitteln sind. Die Fluggastdaten werden elektronisch übermittelt, wobei die gemeinsamen Protokolle und die unterstützten Datenformate, die gemäß Art. 16 Abs. 3 der PNR-Richtlinie durch Durchführungsrechtsakte der Europäischen Kommission festgelegt worden sind, zu verwenden sind (vgl. dazu Durchführungsbeschluss (EU) 2017/759 über die gemeinsamen Protokolle und Datenformate, die von den Fluggesellschaften für die Übermittlung von Fluggastdatensätzen (PNR-Daten) an PNR-Zentralstellen zu verwenden sind, ABl. Nr. L 113 vom 29.04.2017 S. 48). Das jeweilige Luftfahrtunternehmen wählt aus diesen festgelegten Protokollen und Datenformaten das konkrete Protokoll und Datenformat aus, das von ihr für die Übermittlung von Fluggastdaten verwendet werden soll, und teilt dies der Fluggastdatenzentralstelle mit (Abs. 2). Im Falle technischer Störungen können die Übermittlungen – nach vorheriger Abstimmung mit der Fluggastdatenzentralstelle – auch auf andere geeignete Weise erfolgen. Wesentlich ist hierbei jedoch die Wahrung eines angemessenen Datensicherheitsniveaus im Sinne der Bestimmungen des § 54 Abs. 2 Datenschutzgesetz idF BGBl. I Nr. 120/2017 (im Folgenden: DSG). Diese Bestimmung soll den Datenaustausch in Ausnahmefällen – bei technischen Störungen – ermöglichen.
Mit dem Abs. 3 wird Art. 8 Abs. 1 Satz 2 der PNR-Richtlinie umgesetzt. Dieser verpflichtet bei Flügen mit Code-Sharing – wenn also zwei oder mehr Luftfahrtunternehmen im Rahmen einer Kooperation einen Flug teilen – das den Flug durchführende Luftfahrtunternehmen, die Fluggastdaten an die Fluggastdatenzentralstelle zu übermitteln.
Abs. 4 legt fest, dass die Fluggastdaten von den Luftfahrtunternehmen in Einzelfällen auf Anforderung der Fluggastdatenzentralstelle zusätzlich zu den in Abs. 1 genannten Zeitpunkten unverzüglich und kostenlos zu übermitteln sind, wenn tatsächliche Anhaltspunkte dafür vorliegen, dass dies zur Vorbeugung oder Verhinderung gerichtlich strafbarer Handlungen gemäß § 1 Abs. 1 erforderlich ist. Hierdurch wird Art. 8 Abs. 5 der PNR-Richtlinie umgesetzt, der es ermöglichen soll, bei einer solchen Aufgabenlage jederzeit Fluggastdaten von den Luftfahrtunternehmen erhalten zu können. Die Zulässigkeit der Anfrage ist seitens der anfragenden Behörde, die sich an die Fluggastdatenzentralstelle wendet, zu prüfen. Im Falle der Anfrage durch eine ausländische zuständige Behörde oder eine ausländische Fluggastdatenzentralstelle, trifft die Prüfung der rechtlichen Zulässigkeit die Fluggastdatenzentralstelle, da diese in einem solchen Fall als anfragende Behörde im engeren Sinn agiert.
Als im Sinne dieses Gesetzes zuständige Organe und Behörden der militärischen Nachrichtendienste kommen das Abwehramt sowie der Heeresnachrichtendienst beim Bundesminister für Landesverteidigung in Betracht. Die militärische Landesverteidigung nach Art. 79 Abs. 1 B-VG umfasst auch die umfassende und rechtzeitige Gewährleistung der militärischen Sicherheit. Als Bedrohung der militärischen Landesverteidigung kommen jene strafbaren Handlungen des § 1 Abs. 1 in Betracht, die einen militärischen Bezug aufweisen (etwa Wehrmittelsabotage oder illegaler Handel mit Waffen, Munition und Sprengstoffen in einem militärischen Bezug). Aus § 20 Abs. 1 Militärbefugnisgesetz (im Folgenden MBG) und den dazugehörigen Erläuterungen ergibt sich weiters, dass die Hauptaufgabe der nachrichtendienstlichen Aufklärung die Beschaffung, die Bearbeitung, die Auswertung und die Darstellung vorwiegend sicherheitspolitisch relevanter Informationen über das Ausland, internationale Organisationen oder zwischenstaatliche Einrichtungen ist. Diese Aufgaben dienen vor allem dem frühzeitigen Erkennen von Gefahren für die nationale Sicherheit und die Einsatzbereitschaft des österreichischen Bundesheeres, wie etwa der (grenzübergreifende) Terrorismus und die (internationale) Geldwäsche.
Mit dem letzten Satz wird klargestellt, dass Anfragen an Luftfahrtunternehmen, die sich aufgrund anderer rechtlicher Bestimmungen, etwa aufgrund einer Sicherstellungsanordnung gemäß § 110 StPO, ergeben, von dieser Regelung unberührt bleiben.
Abs. 1 legt fest, welche Daten Fluggastdaten sind, und überführt so die in Anhang I der PNR-Richtlinie genannten Fluggastdaten in nationales Recht. Hierbei sind die Mitgliedstaaten verpflichtet, alle Daten aus Anhang I der oben genannten Richtlinie in die jeweiligen nationalen Umsetzungsgesetze aufzunehmen, um sicherzustellen, dass im Rahmen des europäischen Fluggastdatensystems die gleichen Standards gelten. Die genannten Datenarten sind der Fluggastdatenzentralstelle in der Form zu übermitteln, wie sie auch dem Luftfahrtunternehmen vorliegen, dh in ungekürzter und personalisierter Form, da nur auf diese Weise der in § 4 Abs. 1 vorgesehene Abgleich durchgeführt werden kann. Hierdurch werden Luftfahrtunternehmen jedoch nicht dazu verpflichtet, weitere, über die von ihnen bereits erhobenen Fluggastdaten hinausgehende, Daten bei den Fluggästen zu erheben.
Abs. 2 dient der Umsetzung von Art. 6 Abs. 1 Satz 2 sowie Art. 13 Abs. 4 Satz 2 der PNR-Richtlinie. Danach sind Daten, die der Fluggastdatenzentralstelle von den Luftfahrtunternehmen übermittelt wurden und die nicht Fluggastdaten nach Abs. 1 sind, unverzüglich nach ihrer Kenntnisnahme von derselben zu löschen. Dasselbe gilt für Fluggastdaten, die Angaben zu besonderen Kategorien von personenbezogenen Daten enthalten; auch diese sind unverzüglich nach ihrer Kenntnisnahme zu löschen.
Für die in § 1 Abs. 1 genannten Zwecke ist die Fluggastdatenzentralstelle ermächtigt, die von den Luftfahrtunternehmen oder von Fluggastdatenzentralstellen anderer Mitgliedstaaten übermittelten Fluggastdaten mit bestimmten Datenbanken und im Vorhinein festgelegten Kriterien (§ 5) abzugleichen, um Personen zu identifizieren, bei denen tatsächliche Anhaltspunkte dafür vorliegen, dass sie eine in § 1 Abs. 1 genannte gerichtlich strafbare Handlung begangen haben oder begehen werden. Die Fluggastdaten werden von allen Fluggästen und nicht nur von bestimmten Personengruppen abgeglichen und in einer PNR-Datenbank verarbeitet. Mit Abs. 1 wird Art. 6 Abs. 2 lit. a iVm Abs. 3 lit. a und b sowie Art 9 Abs. 1 der PNR-Richtlinie umgesetzt.
Mit Abs. 1 wird auch der Zeitpunkt für einen vorzeitigen Abgleich mit Fluggastdaten festgelegt. Demnach ist ein automatisierter Abgleich von Fluggastdaten durch die Fluggastdatenzentralstelle vor der Ankunft eines Luftfahrzeuges auf einem Flughafen in Österreich oder vor dem Abflug eines Luftfahrzeuges von einem Flughafen in Österreich mit bestimmten Datenbeständen und anhand im Vorhinein festgelegter Kriterien zulässig.
Der vorzeitige Abgleich mit Fahndungsevidenzen und sicherheitspolizeilichen Datenverarbeitungen gemäß Abs. 1 Z 1, der Art. 6 Abs. 2 lit. a iVm Abs. 3 lit. a der PNR-Richtlinie umsetzt, zielt darauf ab, Personen zu identifizieren, die bereits im Zusammenhang mit gerichtlich strafbaren Handlungen gemäß § 1 Abs. 1 in Erscheinung getreten sind. Der vorzeitige Abgleich ist mit solchen Datenbeständen zulässig, die der Fahndung oder Ausschreibung von Personen oder Sachen wegen der in § 1 Abs. 1 genannten Straftaten dienen. Hierbei kommt insbesondere ein Abgleich mit den Datenbeständen von EKIS (§ 57 SPG) oder des „Schengener Informationssystems“ (SIS II) in Betracht. Durch den Abgleich von Fluggastdaten mit den Fahndungsevidenzen kann insbesondere überprüft werden, ob die im Rahmen der Buchung angegebenen Personalien, Ausweisdokumente oder Zahlungsmittel in Österreich bzw. im Schengenraum zur Fahndung wegen einer in § 1 Abs. 1 genannten Straftat ausgeschrieben sind. Nur durch einen Abgleich der Fluggastdaten mit Fahndungsevidenzen kann sichergestellt werden, dass alle relevanten Personen, die zur Fahndung ausgeschrieben sind, überprüft werden können. Unter sicherheitspolizeiliche Datenverarbeitungen fallen jene Datenbanken, die auf Grundlage des SPG oder des Polizeilichen Staatsschutzgesetzes (PStSG) geführt werden und dem Zweck der PNR-Richtlinie, nämlich der Vorbeugung und Verfolgung von Terrorismus oder bestimmten anderen, vergleichbar schweren Straftaten, dienen.
Der Abgleich von Fluggastdaten mit im Vorhinein festgelegten Kriterien (Abs. 1 Z 2) ermöglicht es, Personen zu identifizieren, die bisher nicht mit einer der genannten Straftaten in Verbindung gebracht werden konnten und den Sicherheitsbehörden bislang nicht bekannt waren, aber mit einer terroristischen Straftat oder einer Straftat gemäß dem Anhang in Zusammenhang stehen könnten. Zum Verfahren zur Festlegung der Kriterien vgl. § 5.
Mit Abs. 2 wird Art. 6 Abs. 2 lit. b der PNR-Richtlinie umgesetzt. Danach kann die Fluggastdatenzentralstelle im Einzelfall auf begründetes Ersuchen einer Sicherheitsbehörde, den mit Aufgaben der wehr- oder militärbefugnisgesetzlichen Vollziehung betrauten Organen und Behörden der militärischen Nachrichtendienste, einer Staatsanwaltschaft, eines Gerichts oder einer Zollbehörde sowie Europols im Wege der nationalen Europol-Stelle (§ 4 Abs. 1 BKA-G) Abfragen in der PNR-Datenbank zu den in § 1 Abs. 1 genannten Zwecken durchführen. Entsprechende Ersuchen der Staatsanwaltschaften und Gerichte im Rahmen von Strafverfahren ergehen mittels Anordnung (§ 102, § 210 Abs. 3 StPO). Diese Abfrage kann unter anderem darauf gerichtet sein, Reisebewegungen nachzuvollziehen oder kriminelle oder terroristische Netzwerkstrukturen zu erkennen. So kann zum Beispiel im Rahmen eines Ermittlungsverfahrens gegen eine terrorverdächtige Person durch einen Abgleich von Fluggastdaten mit ihren Personalien nachvollzogen werden, ob und wann sie sich in Kriegsgebiete begeben hat, um etwa an einer militärischen Ausbildung oder an Kampfhandlungen teilzunehmen, und ob andere Personen zur gleichen Zeit die gleichen – möglicherweise ungewöhnlichen – Reiserouten gewählt haben. Ab der Depersonalisierung der Fluggastdaten ist die Darstellung eines personenbezogenen Abfrageergebnisses nur mehr nach erfolgter Aufhebung der Depersonalisierung gemäß § 6 Abs. 2 zulässig. Die Übermittlung des Ergebnisses der Abfrage richtet sich nach § 7.
Abs. 3 legt in Umsetzung von Art. 6 Abs. 5 der PNR-Richtlinie fest, dass Treffer, die aus einem vorzeitigen Abgleich von Fluggastdaten mit Datenbanken und im Vorhinein festgelegten Kriterien resultieren, von der Fluggastdatenzentralstelle individuell – somit nicht programmgesteuert, sondern durch einen bestimmten Organwalter – zu überprüfen sind. Hierdurch wird sichergestellt, dass nur solche Treffer, die von der Fluggastdatenzentralstelle positiv verifiziert wurden, an die zuständigen Behörden zur weiteren Überprüfung übermittelt werden. Zum Schutz der Betroffenen ist die Weiterleitung von rein automatisiert generierten Treffern ohne eine solche Verifizierung ausgeschlossen. In Umsetzung von Art. 6 Abs. 2 lit. a der PNR-Richtlinie kann in diesem Fall aufgrund eines verifizierten Treffers die Übermittlung durch die Fluggastdatenzentralstelle an die in Abs. 2 genannten Behörden aus Eigenem erfolgen. Werden Fluggastdaten von Fluggastdatenzentralstellen anderer Mitgliedstaaten an die Fluggastdatenzentralstelle beim Bundeskriminalamt übermittelt, können diese PNR-Daten gemäß Abs. 1 in der PNR-Datenbank und – im Falle eines Treffers – in Folge nach Abs. 3 in der Trefferverwaltung verarbeitet werden.
Abs. 4 setzt Art. 12 Abs. 4 der PNR-Richtlinie um und bestimmt, dass Fluggastdaten nach Ablauf von fünf Jahren ab ihrer Übermittlung (Zeitpunkt des letzten „Push-Moments“) an die Fluggastdatenzentralstelle aus der PNR-Datenbank (Abs. 1) und der Trefferverwaltung (Abs. 3) zu löschen sind. Speicher- oder Löschungspflichten nach anderen gesetzlichen Bestimmungen bleiben hiervon unberührt (Art. 12 Abs. 4 der PNR-Richtlinie).
Abs. 5 regelt die Protokollierung von Datenverarbeitungsvorgängen und setzt Art. 13 Abs. 5 und 6 der PNR-Richtlinie um. Demnach ist § 50 DSG mit der Maßgabe anwendbar, dass von den Verarbeitungsvorgängen jedenfalls die Erhebung, Abfrage, Offenlegung und Löschung zu protokollieren ist und die Protokolldaten gemäß Art. 13 Abs. 6 letzter Satz der PNR-Richtlinie fünf Jahre lang aufzubewahren und anschließend zu löschen sind. Ein Abgehen von den diesbezüglichen Vorgaben der PNR-Richtlinie ist nicht zulässig. In Einklang mit der PNR-Richtlinie ist daher das Ergebnis einer Abfrage nicht zu protokollieren.
§ 5 enthält Vorgaben für die Erstellung, die Überprüfung und den Inhalt von Kriterien, die für einen vorzeitigen Abgleich nach § 4 Abs. 1 Z 2 verwendet werden können. Demnach werden Kriterien von der Fluggastdatenzentralstelle festgelegt und regelmäßig, mindestens alle sechs Monate, überprüft. Für die Erstellung der Kriterien kann es angezeigt erscheinen auf die Expertise, insbesondere die kriminalistische Erfahrung, von Sicherheitsbehörden, Staatsanwaltschaften, Gerichten, Zollbehörden, dem Abwehramt und dem Heeres-Nachrichtenamt bzw. deren Zentralstellen zurückzugreifen.
Die Kriterien bestehen aus verdachtsbegründenden und verdachtsentlastenden Prüfungsmerkmalen. Verdachtsbegründende Prüfungsmerkmale beruhen auf vorliegenden Tatsachen zu bestimmten Straftaten. Sie müssen geeignet sein, Personen zu identifizieren, die für die Vorbeugung oder Verfolgung der in § 1 Abs. 1 genannten Straftaten bedeutsame Prüfungsmerkmale erfüllen. Verdachtsentlastende Prüfungsmerkmale dienen dazu, Personen, die zugleich unter verdachtsbegründende Prüfungsmerkmale fallen, wieder auszuschließen. Bei den Kriterien sind verdachtsbegründende Prüfungsmerkmale mit verdachtsentlastenden Prüfungsmerkmalen so zu kombinieren, dass die Zahl der unter die Kriterien fallenden Personen möglichst gering ist. Die automatische Vorabprüfung von PNR-Daten anhand von Kriterien (Prüfungsmerkmalen) zielt im Gegensatz zum Abgleich mit Fahndungsevidenzen und sonstigen sicherheitspolizeilichen Datenverarbeitungen auf die Identifizierung von Personen ab, die den Sicherheitsbehörden noch nicht bekannt sind und die mit einer strafbaren Handlung gemäß § 1 Abs. 1 in Zusammenhang stehen könnten. Bei der Erstellung von Kriterien kann die kriminalistische Erfahrung objektiviert und auf eine breite Basis von Erkenntnissen gestellt werden. Gleichzeitig fließen Erkenntnisse in die Kriterien ein, die den Kreis derjenigen Personen, die ein verdachtsbegründendes Merkmal erfüllen, wieder reduzieren.
Angaben zu besonderen Kategorien von personenbezogenen Daten (§ 39 DSG), wie etwa zur rassischen oder ethnischen Herkunft, zur politischen Meinung oder zum Gesundheitszustand einer Person, dürfen nicht Gegenstand eines Prüfungsmerkmals sein. Einer weiteren gesetzlichen Festlegung des Inhalts von Kriterien stehen die dynamische Entwicklung der Vorgehensweisen von Tätern und die damit verbundene Schnelllebigkeit von Kriterien entgegen. Die erforderliche Flexibilität bei der Erstellung von Kriterien ist sicherzustellen, um mit den Entwicklungen auf Täterseite Schritt halten zu können. Es gilt zu verhindern, dass Täter ihre Vorgehensweisen so an Kriterien anpassen können, dass diese aufgrund starrer gesetzlicher Vorgaben ins Leere laufen.
Bei der Festlegung der Kriterien kann die kriminalistische Erfahrung objektiviert und auf eine breitere Basis von Erkenntnissen gestellt werden. So können zum Beispiel Fälle von Drogenkurieren herangezogen werden und mit Blick auf deren Reiserouten, Zwischenlandungen und Dauer des dortigen Aufenthaltes analysiert und daraus spezifische Kriterien erstellt werden. Gleichzeitig fließen Gegenplausibilitäten in die Kriterien ein, die den Kreis derjenigen Personen, die ein verdachtsbegründendes Kriterium erfüllen, wieder reduzieren.
Abs. 3 setzt Art. 6 Abs. 2 lit. c der PNR-Richtlinie um. Danach kann die Fluggastdatenzentralstelle zur Aktualisierung von Kriterien Fluggastdaten analysieren. Diese Analyse kann insbesondere mit dem Ziel durchgeführt werden, bestehende Kriterien zu verifizieren oder sie durch eine weitere Spezifikation weiterzuentwickeln. Die Fluggastdatenzentralstelle kann Fluggastdaten nach Abs. 3 auch analysieren, um neue Kriterien für den vorzeitigen Abgleich zu erstellen. Eine solche Analyse kann zum Beispiel darauf abzielen, Abweichungen von Prüfungsmerkmalen, die anhand der bisherigen Erkenntnisse der Sicherheitsbehörden festgelegt wurden, zu erkennen. Stellen sich solche Abweichungen heraus, können neue Prüfungsmerkmale festgelegt und daraus neue Kriterien erstellt werden.
§ 6 enthält Bestimmungen zur Depersonalisierung von Fluggastdaten sowie zu den Voraussetzungen, unter denen die Depersonalisierung von Fluggastdaten aufgehoben werden kann. Damit wird Art. 12 Abs. 2 und 3 der PNR-Richtlinie umgesetzt. Depersonalisierung stellt jenen Prozess dar, durch welchen bestimmte Daten unkenntlich gemacht werden, sodass die Identität des Fluggastes nicht mehr unmittelbar festgestellt werden kann. Jene in der PNR-Datenbank (§ 4 Abs. 1) verarbeiteten Fluggastdaten, mit denen die Identität eines Fluggastes unmittelbar festgestellt werden könnte, sind nach Ablauf von sechs Monaten ab Übermittlung an die Fluggastdatenzentralstelle (Zeitpunkt des letzten „Push-Moments“) zu depersonalisieren, sodass die Identität des Fluggastes nicht mehr unmittelbar festgestellt werden kann.
Die Aufhebung der Depersonalisierung von Fluggastdaten ist gemäß Abs. 2 nur zulässig, wenn tatsächliche Anhaltspunkte dafür vorliegen, dass die Aufhebung für Zwecke des § 1 Abs. 1 erforderlich ist und zur Vorbeugung oder Verhinderung bestimmter Straftaten vom Rechtsschutzbeauftragten gemäß § 91a SPG, § 74a Finanzstrafgesetz oder gemäß § 57 MBG oder zur Aufklärung oder Verhinderung bestimmter Straftaten von der Staatsanwaltschaft auf Grund einer gerichtlichen Bewilligung oder unmittelbar von einem Gericht angeordnet worden ist. Wird die Aufhebung der Depersonalisierung von Fluggastdaten aufgrund eines begründeten Ersuchens einer Fluggastdatenzentralstelle eines anderen Mitgliedstaates der Europäischen Union, einer Behörde eines Drittstaates oder Europols im Wege der nationalen Europol-Stelle (§ 4 Abs. 1 BKA-G) bei der Fluggastdatenzentralstelle beantragt, ist für Fälle nach Z 1 der Rechtsschutzbeauftragte beim Bundesminister für Inneres, beim Bundesminister für Finanzen oder beim Bundesminister für Landesverteidigung zuständig und für Fälle nach Z 2 erfolgt die Aufhebung der Depersonalisierung auf Anordnung der Staatsanwaltschaft auf Grund einer gerichtlichen Bewilligung oder auf Anordnung des Gerichts auf Grundlage der Bestimmungen der StPO.
Von jeder Aufhebung der Depersonalisierung gemäß Z 1 ist – entsprechend der Vorgaben der PNR-Richtlinie (Art. 12 Abs. 3 lit. b ii) – der Datenschutzbeauftragte zu informieren, dem zur Wahrnehmung seiner Aufgaben die Möglichkeiten nach § 57 DSG zukommen (§ 8).
§ 7 setzt Art. 9 ff der PNR-Richtlinie um, wonach die Mitgliedstaaten die erhaltenen Fluggastdaten untereinander und mit Europol austauschen sollen, wenn dies für Zwecke des § 1 Abs. 1 erforderlich ist. Gemäß dieser Bestimmung kommt der Fluggastdatenzentralstelle die Aufgabe des internationalen Informationsaustauschs zu. Entsprechend der PNR-Richtlinie ist zwischen der Übermittlung ins EU-Ausland und an Drittstaaten zu differenzieren, welchem die Abs. 1 und 2 Rechnung tragen.
Gemäß Abs. 1 ist die Übermittlung von auf Grundlage des PNR-G verarbeiteten Daten, insbesondere von Fluggastdaten und den Ergebnissen der Verarbeitung, über begründetes Ersuchen an inländische Sicherheitsbehörden, Staatsanwaltschaften, an das Abwehramt, an das Heeres-Nachrichtenamt, Gerichte sowie Zollbehörden, an Fluggastdatenzentralstellen anderer Mitgliedstaaten sowie an Europol im Wege der nationalen Europol-Stelle (§ 4 Abs. 1 BKA-G) zulässig. Nur in Ausnahmefällen bei Gefahr in Verzug ist eine direkte Anfrage einer zuständigen Behörde eines anderen Mitgliedstaates an die österreichische Fluggastdatenzentralstelle zulässig, wobei die Fluggastdatenzentralstelle des jeweiligen Staates von der zuständigen Behörde über die direkte Kontaktaufnahme nachrichtlich zu informieren ist. Mit dieser Regelung wird Art. 9 Abs. 3 der PNR-Richtlinie umgesetzt. Welche Behörden unter den Begriff der „zuständigen Behörden“ iSd Abs. 1 fallen, ist einer Liste, die die Europäische Kommission im Amtsblatt der Europäischen Union veröffentlicht, zu entnehmen (Art. 7 Abs. 3 PNR-Richtlinie).
Für die Übermittlung von Fluggastdaten an einen Drittstaat müssen die in §§ 8 ff PolKG festgelegten Standards eingehalten werden. Insbesondere ist darin vorgesehen, dass die Daten ohne Zustimmung der übermittelnden Behörde zu keinem anderen Zweck als den der Übermittlung zugrundeliegenden verwendet werden dürfen. Über die Übermittlung von Fluggastdaten an Drittstaaten ist zudem der Datenschutzbeauftragte zu informieren (vgl. Art. 11 Abs. 4 PNR-Richtlinie).
Zusätzlich wird in Umsetzung des Art. 11 Abs. 2 der PNR-Richtlinie in Abs. 3 eine Regelung für den Fall aufgenommen, dass von einem anderen Mitgliedstaat überlassene Daten zur Abwehr einer bestimmten und gegenwärtigen Bedrohung durch eine in § 1 Abs. 1 genannte Straftat übermittelt werden müssen. In diesem Fall kann ausnahmsweise von einer vorhergehenden Einholung der Zustimmung abgesehen werden; diese ist aber unverzüglich nachzuholen. Auch in diesem Fall ist der Datenschutzbeauftragte von der Übermittlung zu informieren (vgl. § 8).
Abs. 4 normiert die Ermächtigung der Fluggastdatenzentralstelle Übermittlungen nach Abs. 1 bis 3 sowie die damit in Zusammenhang stehenden Bearbeitungsvorgänge in der Trefferverwaltung (§ 4 Abs. 3) zu administrieren.
Die Kontrolle der Rechtmäßigkeit der Datenverarbeitung in der PNR-Datenbank (§ 4 Abs. 1) und der Trefferverwaltung (§ 4 Abs. 3) obliegt dem weisungsfreien Datenschutzbeauftragten (§ 5 und § 57 DSG) beim Bundesminister für Inneres. Bei der Aufhebung der Depersonalisierung (§ 6 Abs. 2 Z 1) bzw. der Übermittlung an Drittstaaten besteht seine Aufgabe darin, zu überprüfen, ob die gesetzlichen Voraussetzungen (z.B. Ermächtigung der jeweiligen Stelle) vorgelegen sind und die Fluggastdatenzentralstelle im Rahmen dieser Vorgaben gehandelt hat. Da hier keine abweichenden Regelungen zum DSG getroffen wurden, ergibt sich die Einsetzung der Datenschutzbehörde als nationale Kontrollstelle aus der unmittelbaren Anwendbarkeit des DSG.
Durch § 9 soll Art. 13 Abs. 1 der PNR-Richtlinie Rechnung getragen sowie die Mitwirkungsverpflichtung des Auskunftswerbers festgehalten werden. Dieser soll in einem Auskunftsverfahren unter Nachweis seiner Identität in dem ihm zumutbaren Ausmaß mitwirken sowie Angaben zu seiner Fluggasteigenschaft und seinen Flugbewegungen erbringen, um ungerechtfertigten oder unverhältnismäßigen Aufwand bei der Auskunftserteilung durch die Fluggastdatenzentralstelle zu vermeiden. Dabei hat er gegenüber der Fluggastdatenzentralstelle insbesondere offen zu legen, für welchen Zeitpunkt und für welche Reiseroute er Auskunft erhalten will. Nicht von der Auskunft umfasst sind bereits depersonalisierte Fluggastdaten, da das Recht auf Auskunft nicht von den in Art. 12 Abs. 3 der PNR-Richtlinie taxativ genannten Gründen für die Aufhebung der Depersonalisierung genannt ist. Darüber hinaus wäre dies ein unverhältnismäßiger Eingriff in das Datenschutzinteresse anderer, allfällig betroffener Personen (Art. 15 Abs. 1 lit. e der Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, ABl. Nr. L 119 vom 04.05.2016 S. 89).
In Anlehnung an § 112 Abs. 1 Fremdenpolizeigesetz 2005 und in Konkretisierung von Art. 14 der PNR-Richtlinie begeht eine Verwaltungsübertretung, wer als Luftfahrunternehmen entgegen § 2 Fluggastdaten nicht, nicht in der vorgeschriebenen Weise, nicht vollständig oder nicht rechtzeitig übermittelt. Die Verhängung von Geldbußen gegen juristische Personen orientiert sich an der geltenden Regelung des § 99d Bankwesengesetz. Als sachlich zuständige Behörde zur Führung des Verwaltungsstrafverfahrens werden die Landespolizeidirektionen normiert. Ferner liegt eine Verwaltungsübertretung gemäß § 22 Abs. 1 Verwaltungsstrafgesetz nur dann vor, wenn die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet.
Abs. 4 normiert eine explizite Regelung für Verwaltungsübertretungen von Luftfahrtunternehmen, die ihren Sitz nicht in Österreich haben. Demnach richtet sich die örtliche Zuständigkeit nach dem Ort, an dem die Verwaltungsübertretung festgestellt wird. In solchen Fallkonstellationen wird die Verwaltungsübertretung regelmäßig durch die Fluggastdatenzentralstelle festgestellt, zumal gemäß § 2 jegliche Kommunikation mit den Luftfahrtunternehmen im Wege der Fluggastdatenzentralstelle erfolgt. In diesen Fällen ist daher die Landespolizeidirektion Wien zur Führung des Verwaltungsstrafverfahrens zuständige Behörde erster Instanz.
Zu §§ 11 bis 15:
Es handelt sich um die erforderlichen Schlussbestimmungen sowie die Inkrafttretensbestimmung.