Document ID: 32006D0253

ENTSCHEIDUNG DER KOMMISSION
vom 6. September 2005
über die Angemessenheit des Schutzes der personenbezogenen Daten, die in den Passenger Name Records enthalten sind, welche der Canada Border Services Agency übermittelt werden
(Bekannt gegeben unter Aktenzeichen K(2005) 3248)
(Text von Bedeutung für den EWR)
(2006/253/EG)
DIE KOMMISSION DER EUROPÄISCHEN GEMEINSCHAFTEN -
gestützt auf den Vertrag zur Gründung der Europäischen Gemeinschaft,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1), insbesondere auf Artikel 25 Absatz 6,
in Erwägung nachstehender Gründe:
(1)
Nach der Richtlinie 95/46/EG müssen die Mitgliedstaaten dafür sorgen, dass die Übermittlung personenbezogener Daten in ein Drittland nur zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet und die Rechtsvorschriften der Mitgliedstaaten zur Umsetzung der anderen Bestimmungen der Richtlinie erfüllt sind, bevor die Übermittlung erfolgt.
(2)
Die Kommission ist berechtigt, festzustellen, dass ein Drittland einen angemessenen Datenschutz gewährleistet. In diesem Fall können die Mitgliedstaaten personenbezogene Daten übermitteln, ohne dass zusätzliche Garantien erforderlich sind.
(3)
Nach der Richtlinie 95/46/EG sind bei der Bewertung des Datenschutzniveaus alle Umstände zu berücksichtigen, die bei der Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen, wobei insbesondere eine Reihe bei der Datenübermittlung wichtiger und in Artikel 25 Absatz 2 der Richtlinie aufgeführter Merkmale zu beachten ist.
(4)
Der „Passenger Name Record“ (PNR) (Passagierdatensatz) im Luftverkehr ist ein Datensatz mit Reiseangaben über den einzelnen Passagier; er enthält alle Informationen, die für die Bearbeitung und Kontrolle durch die die Buchung vornehmenden und die sonstigen beteiligten Fluggesellschaften erforderlich sind (2). Für die Zwecke dieser Entscheidung umfassen die Begriffe „Passagier“ und „Passagiere“ auch die Besatzungsmitglieder. Die „die Buchung vornehmende Fluggesellschaft“ ist jeweils die Fluggesellschaft, bei der der Passagier die ursprünglichen oder zusätzliche, nach dem Antritt der Reise erfolgte Reservierungen vorgenommen hat. „Sonstige beteiligte Fluggesellschaften“ sind alle Fluggesellschaften, an die die buchende Fluggesellschaft für einen oder mehrere Flüge eine Reservierungsanfrage für einen Passagier gerichtet hat.
(5)
Die Canada Border Services Agency (CBSA - Zoll- und Grenzbehörde Kanadas) fordert von allen Fluggesellschaften, die Passagierflüge nach Kanada anbieten, dass sie ihr elektronischen Zugang zum PNR gewähren, soweit dieser PNR in den computergestützten Buchungs-/Abfertigungssystemen der Fluggesellschaften erfasst und gespeichert wird.
(6)
Rechtsgrundlagen für die geforderte Übermittlung personenbezogener Daten aus dem PNR an die CBSA sind Section 107.1 des Customs Act (kanadisches Zollgesetz) und Section 148 Buchstabe d des Immigration and Refugee Protection Act (kanadisches Einwanderungs- und Flüchtlingsschutzgesetz) sowie Durchführungsverordnungen zu diesen Gesetzen (3).
(7)
Diese Rechtsvorschriften betreffen die Verbesserung der Sicherheitslage in Kanada sowie die Voraussetzungen, unter denen Personen dort einreisen dürfen, Angelegenheiten, die Kanada in Ausübung seiner staatlichen Souveränität regeln darf. Darüber hinaus stehen die Auflagen in keinerlei Widerspruch zu internationalen Verpflichtungen, die Kanada eingegangen ist. Kanada ist ein demokratischer Rechtsstaat, in dem die bürgerlichen Freiheiten traditionell einen hohen Stellenwert haben. Die Legitimität des Gesetzgebungsverfahrens sowie die Stärke und Unabhängigkeit der Justiz in Kanada stehen außer Frage. Darüber hinaus ist die Pressefreiheit ein starker Garant gegen Verletzungen der Grundrechte.
(8)
Innerhalb der vom Gemeinschaftsrecht gezogenen Grenzen unterstützt die Gemeinschaft Kanada uneingeschränkt im Kampf gegen den Terrorismus. Nach dem Gemeinschaftsrecht müssen Sicherheits- und Datenschutzbelange sorgfältig gegeneinander abgewogen werden. Beispielsweise ermöglicht Artikel 13 der Richtlinie 95/46/EG den Mitgliedstaaten, Rechtsvorschriften zu erlassen, die bestimmte Erfordernisse der genannten Richtlinie einschränken, sofern eine solche Einschränkung für die Sicherheit des Staates, die Landesverteidigung, die öffentliche Sicherheit oder die Verhütung, Ermittlung, Feststellung und Verfolgung von Straftaten erforderlich ist.
(9)
Die Datenübermittlungen betreffen bestimmte für die Datenverarbeitung Verantwortliche, nämlich Fluggesellschaften, die Flüge aus der Gemeinschaft nach Kanada durchführen, sowie einen einzigen Empfänger in Kanada, nämlich die CBSA.
(10)
Jede Vereinbarung zur Schaffung einer Rechtsgrundlage für die Übermittlung von PNR an Kanada, insbesondere diese Entscheidung, sollte befristet sein. Man hat sich auf einen Zeitraum von dreieinhalb Jahren verständigt. Da sich die Rahmenbedingungen während dieses Zeitraums wesentlich verändern können, sind sich die Gemeinschaft und Kanada darin einig, dass eine Überprüfung der Vereinbarungen erforderlich sein wird.
(11)
Die Verarbeitung personenbezogener Daten aus den der CBSA übermittelten PNR durch die CBSA unterliegt den Bedingungen, die in der Verpflichtungserklärung der Canada Border Services Agency zur Anwendung ihres PNR-Programms (nachstehend „Verpflichtungserklärung“ genannt) festgelegt sind, sowie den Rechtsvorschriften Kanadas, die in dieser Verpflichtungserklärung aufgeführt sind.
(12)
Was das innerstaatliche Recht Kanadas angeht, so sind das Privacy Act (Datenschutzgesetz), das Access to Information Act (Informationsfreiheitsgesetz) und Section 107 des Customs Act in diesem Zusammenhang insofern von Bedeutung, als sie die Bedingungen regeln, unter denen sich die CBSA einem Offenlegungsantrag widersetzen und die PNR geheim halten darf. Darüber hinaus regelt das Privacy Act die Offenlegung von PNR gegenüber den betroffenen Personen, die eng verknüpft ist mit dem Auskunftsrecht des Betroffenen. Das Privacy Act gilt lediglich für Personen, die sich in Kanada aufhalten. Über Ausländer betreffende PNR-Daten erteilt die CBSA jedoch auch dann Auskunft, wenn die Betroffenen sich nicht in Kanada aufhalten.
(13)
Gemäß Nummer 43 der Verpflichtungserklärung wurden die einzelnen Verpflichtungen entweder bereits in geltende kanadische Rechtsvorschriften aufgenommen oder sie werden in eigenen Rechtsverordnungen verankert und damit ebenfalls rechtlich bindend. Die Verpflichtungserklärung wird in vollem Wortlaut im Amtsblatt Kanadas, der Canada Gazette, veröffentlicht. Sie stellt eine ernsthafte und reiflich überlegte Verpflichtung der CBSA dar, außerdem wird ihre Einhaltung einer gemeinsamen Überprüfung durch Kanada und die Gemeinschaft unterzogen. Gegen eine Nichteinhaltung der Verpflichtungen könnte je nach Bedarf auf rechtlichem, administrativem und politischem Wege vorgegangen werden, wobei eine anhaltende Missachtung letztlich zur Aussetzung der Wirkung der vorliegenden Entscheidung führen würde.
(14)
Die Vorschriften, nach denen die CBSA aufgrund der Gesetze Kanadas und der Verpflichtungserklärung die Passagierdaten aus den PNR verarbeiten wird, erfüllen die Grundanforderungen an ein angemessenes Schutzniveau für natürliche Personen.
(15)
Was den Grundsatz der Zweckbindung angeht, so werden die personenbezogenen Daten von Passagieren, die in den der CBSA übermittelten PNR enthalten sind, für einen festgelegten Zweck verwendet und anschließend nur weiterverwendet oder weitergegeben, soweit dies mit dem Zweck der ursprünglichen Übermittlung vereinbar ist. PNR-Daten werden ausschließlich verwendet für Zwecke der Verhütung und Bekämpfung des Terrorismus und damit verknüpfter Straftaten sowie anderer schwerer, ihrem Wesen nach länderübergreifender Straftaten, einschließlich der internationalen organisierten Kriminalität.
(16)
Was die Grundsätze der Datenqualität und der Verhältnismäßigkeit angeht, die vor dem Hintergrund des wichtigen öffentlichen Interesses zu betrachten sind, aufgrund dessen die Übermittlung der PNR-Daten erfolgt, so werden die PNR-Daten, die an die CBSA übermittelt werden, von dieser Behörde nicht im Nachhinein geändert. Es werden maximal 25 PNR-Kategorien übermittelt, und die CBSA wird sich mit der Europäischen Kommission abstimmen, bevor sie die Liste der 25 geforderten PNR-Datenelemente in Anlage A überarbeitet. Zusätzliche personenbezogene Daten, die unmittelbar aufgrund bestimmter PNR-Daten von nichtstaatlichen Stellen benötigt werden, werden nur auf gesetzlich zulässigem Weg eingeholt. Generell werden PNR nach spätestens 3 Jahren und 6 Monaten gelöscht.
(17)
Was den Transparenzgrundsatz angeht, so wird die CBSA die Reisenden über den Zweck der Datenübermittlung und der Datenverarbeitung informieren und ihnen Angaben über den für die Verarbeitung Verantwortlichen sowie weitere Informationen zur Verfügung stellen.
(18)
Was den Grundsatz der Sicherheit betrifft, so wird die CBSA technische und organisatorische Sicherheitsmaßnahmen ergreifen, die den mit der Verarbeitung verbundenen Risiken angemessen sind.
(19)
Durch das Privacy Act wird allen natürlichen Personen, die sich in Kanada aufhalten, das Recht auf Auskunft, Berichtigung und das Anbringen von Bestreitungsvermerken eingeräumt. Die CBSA wird diese Rechte hinsichtlich von ihr vorgehaltener PNR-Daten auch auf Ausländer ausdehnen, die sich außerhalb Kanadas aufhalten. Die vorgesehenen Ausnahmen sind im Großen und Ganzen mit den Einschränkungen vergleichbar, die Artikel 13 der Richtlinie 95/46/EG den Mitgliedstaaten ermöglicht.
(20)
Eine Weitergabe erfolgt nur von Fall zu Fall an andere - auch ausländische - staatliche Stellen zu Zwecken, die mit der zugesagten Zweckbindung übereinstimmen bzw. vereinbar sind, und beschränkt sich auf Mindestangaben. Eine Weitergabe kann auch dann erfolgen, wenn die Offenlegung zum Schutz lebenswichtiger Interessen des Betroffenen oder anderer Personen erforderlich ist, insbesondere im Falle erheblicher Gesundheitsrisiken, ferner im Zusammenhang mit Gerichtsverfahren oder aufgrund anderer gesetzlicher Erfordernisse. Behörden, die derartige Daten erhalten, dürfen sie aufgrund der Offenlegungsbestimmungen nur zu diesen Zwecken verwenden, außerdem dürfen sie die Daten nicht ohne Zustimmung der CBSA weitergeben. Keine andere ausländische, Bundes-, Provinz- oder Lokalbehörde hat direkten elektronischen Zugriff auf PNR-Daten, die in Datenbanken der CBSA gespeichert sind. Die CBSA wird die Offenlegung von PNR gegenüber der Allgemeinheit unter Berufung auf die Ausnahmeregelungen in den betreffenden Bestimmungen des Access to Information Act und des Privacy Act ablehnen.
(21)
Die CBSA erhält keine sensiblen Daten im Sinne von Artikel 8 der Richtlinie 95/46/EG.
(22)
Was die Durchsetzungsmechanismen angeht, die die Befolgung dieser Grundsätze durch die CBSA sicherstellen sollen, so erhalten die Mitarbeiter der CBSA entsprechende Schulung und Informationen, ferner ist die Möglichkeit von Sanktionen gegen einzelne Mitarbeiter vorgesehen. Die unabhängige kanadische Datenschutzbeauftragte (Office of the Canadian Privacy Commissioner) wird nach Maßgabe der Bestimmungen der Canadian Charter of Rights and Freedoms (Kanadische Charta der Rechte und Freiheiten) und des Privacy Act darüber wachen, dass die CBSA die Datenschutzvorschriften generell beachtet. Die Datenschutzbeauftragte kann sich mit den Beschwerden befassen, die die Datenschutzbehörden der Mitgliedstaaten im Auftrag in der Gemeinschaft ansässiger Betroffener an sie richten, falls die Betroffenen zu der Auffassung gelangt sind, dass ihre Datenschutzbeschwerden von der CBSA nicht zufrieden stellend behandelt wurden. Die Einhaltung der Verpflichtungserklärung wird jährlich gemeinsam von der CBSA und einem von der Kommission geleiteten Team überprüft.
(23)
Im Interesse der Transparenz und um sicherzustellen, dass die zuständigen Behörden der Mitgliedstaaten in der Lage sind, den Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten zu gewährleisten, sind - unbeschadet der Anerkennung eines angemessenen Schutzniveaus - die besonderen Umstände zu nennen, unter denen die Aussetzung bestimmter Datenströme gerechtfertigt ist.
(24)
Die Gruppe für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, die nach Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat Stellungnahmen über das von den kanadischen Behörden für Passagierdaten gewährleistete Schutzniveau abgegeben, auf die sich die Kommission während der Verhandlungen mit der CBSA gestützt hat. Die Kommission hat diese Stellungnahmen bei der Erarbeitung dieser Entscheidung zur Kenntnis genommen (4).
(25)
Die in dieser Entscheidung vorgesehenen Maßnahmen stehen im Einklang mit der Stellungnahme des Ausschusses, der gemäß Artikel 31 Absatz 1 der Richtlinie 95/46/EG eingesetzt wurde -
HAT FOLGENDE ENTSCHEIDUNG ERLASSEN:
Artikel 1
Im Hinblick auf Artikel 25 Absatz 2 der Richtlinie 95/46/EG wird festgestellt, dass die Canada Border Services Agency (nachstehend „CBSA“ genannt) auf der Grundlage der als Anhang angefügten Verpflichtungserklärung einen angemessenen Schutz bietet für PNR-Daten über Flüge nach Kanada, die aus der Gemeinschaft übermittelt werden.
Artikel 2
Diese Entscheidung betrifft die Angemessenheit des Schutzes, den die CBSA im Hinblick auf die Anforderungen des Artikels 25 Absatz 1 der Richtlinie 95/46/EG gewährleistet; andere zur Umsetzung sonstiger Vorschriften der Richtlinie festgelegte Bestimmungen und Einschränkungen hinsichtlich der Verarbeitung personenbezogener Daten in den Mitgliedstaaten bleiben davon unberührt.
Artikel 3
1. Unbeschadet ihres Rechts, Maßnahmen zur Durchsetzung einzelstaatlicher Vorschriften zu ergreifen, die gemäß anderen Bestimmungen als denen des Artikels 25 der Richtlinie 95/46/EG angenommen wurden, können die zuständigen Behörden in den Mitgliedstaaten von ihrem Recht Gebrauch machen, zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten die Datenübermittlung an die CBSA auszusetzen,
a)
wenn eine zuständige kanadische Behörde feststellt, dass die CBSA die geltenden Datenschutzvorschriften nicht einhält, oder
b)
wenn eine hohe Wahrscheinlichkeit besteht, dass die im Anhang enthaltenen Schutzvorschriften verletzt werden, Grund zur Annahme besteht, dass die CBSA nicht rechtzeitig angemessene Maßnahmen ergreift bzw. ergreifen wird, um den betreffenden Fall zu lösen, die Fortsetzung der Datenübermittlung den betroffenen Personen einen unmittelbar bevorstehenden schweren Schaden zuzufügen droht und die zuständigen Behörden in den Mitgliedstaaten sich unter den gegebenen Umständen in angemessener Weise bemüht haben, die CBSA zu benachrichtigen und ihr Gelegenheit zur Stellungnahme zu geben.
2. Die Aussetzung wird beendet, sobald sichergestellt ist, dass die Datenschutzvorschriften befolgt werden und die zuständigen Behörden in den jeweiligen Mitgliedstaaten davon in Kenntnis gesetzt sind.
Artikel 4
1. Die Mitgliedstaaten informieren die Kommission unverzüglich, wenn Maßnahmen gemäß Artikel 3 ergriffen wurden.
2. Die Mitgliedstaaten und die Kommission benachrichtigen einander auch über jedwede Änderung der Datenschutzvorschriften sowie über Fälle, in denen die Maßnahmen der Einrichtungen, die dafür verantwortlich sind, dass die CBSA die im Anhang aufgeführten Vorschriften einhält, nicht ausreichen, um die Einhaltung zu gewährleisten.
3. Ergeben die gemäß Artikel 3 und Absatz 1 und 2 dieses Artikels gewonnenen Erkenntnisse, dass die Grundanforderungen an ein angemessenes Schutzniveau für natürliche Personen nicht mehr erfüllt werden, oder dass eine für die Einhaltung der im Anhang aufgeführten Vorschriften durch die CBSA verantwortliche Einrichtung ihre Aufgabe nicht wirksam erfüllt, so wird die CBSA hiervon benachrichtigt und erforderlichenfalls das in Artikel 31 Absatz 2 der Richtlinie 95/46/EG genannte Verfahren zwecks Aufhebung oder Aussetzung dieser Entscheidung angewandt.
Artikel 5
Die Anwendung dieser Entscheidung wird überwacht und relevante Erkenntnisse werden dem nach Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss mitgeteilt; dazu zählen auch Erkenntnisse, die sich auf die Beurteilung in Artikel 1 dieser Entscheidung auswirken könnten, wonach ein angemessenes Schutzniveau im Sinne des Artikels 25 der Richtlinie 95/46/EG gewährleistet ist für PNR von Fluggästen, die an die CBSA übermittelt werden.
Artikel 6
Die Mitgliedstaaten ergreifen binnen vier Monaten nach der Bekanntmachung der Entscheidung alle für ihre Umsetzung erforderlichen Maßnahmen.
Artikel 7
Die Geltungsdauer dieser Entscheidung endet 3 Jahre und 6 Monate nach dem Tag ihrer Bekanntmachung, es sei denn, sie wird nach dem Verfahren des Artikels 31 Absatz 2 der Richtlinie 95/46/EG verlängert.
Artikel 8
Diese Entscheidung ist an alle Mitgliedstaaten gerichtet.
Brüssel, den 6. September 2005

Labels: 10
8
0
12
18