BECKMANN UND NORDA - Rechtsanwälte Bielefeld

EuGH
Urteil vom 21.06.2022
C-817/19
Ligue des droits humains gegen Conseil des ministres

Der EuGH hat entschieden, dass die Regelungen der PNR-Richtlinie eng auszulegen sind und sich die Erhebung und Verarbeitung von Fluggastdaten auf das absolut Notwendige beschränken muss.

Die Pressemitteilung des EuGH:
Nach Ansicht des Gerichtshofs erfordert die Achtung der Grundrechte eine Beschränkung der in der PNR-Richtlinie vorgesehenen Befugnisse auf das absolut Notwendige

Besteht keine reale und aktuelle oder vorhersehbare terroristische Bedrohung eines Mitgliedstaats, steht das Unionsrecht nationalen Rechtsvorschriften entgegen, die eine Übermittlung und Verarbeitung von PNR-Daten bei EU-Flügen sowie bei Beförderungen mit anderen Mitteln innerhalb der Union vorsehen.

Die PNR-Richtlinie schreibt zur Bekämpfung von Terrorismus und schwerer Kriminalität die systematische Verarbeitung einer großen Zahl von PNR-Daten (Passager Name Record) der Fluggäste von Flügen zwischen der Union und Drittstaaten (Drittstaatsflüge) bei der Einreise in die bzw. der Ausreise aus der Union vor. Darüber hinaus können die Mitgliedstaaten diese Richtlinie nach ihrem Art. 2 auch auf Flüge innerhalb der Union (EU-Flüge) anwenden.

Die Ligue des droits humains (Liga für Menschenrechte, LDH) ist ein gemeinnütziger Verein, der im Juli 2017 beim belgischen Verfassungsgerichtshof eine Nichtigkeitsklage gegen das Gesetz vom 25. Dezember 2016 erhoben hat, mit dem die PNR-Richtlinie, die API-Richtlinie2 und die Richtlinie 2010/653 in belgisches Recht umgesetzt wurden. Die LDH macht geltend, dieses Gesetz verletze das im belgischen Recht und im Unionsrecht garantierte Recht auf Achtung des Privatlebens und auf Schutz personenbezogener Daten. Sie rügt den sehr großen Umfang der PNR-Daten sowie den allgemeinen Charakter ihrer Erhebung, Übermittlung und Verarbeitung. Außerdem schränke das Gesetz die Freizügigkeit ein, da mit ihm durch die Ausdehnung des „PNR-Systems“ auf EU-Flüge sowie auf Beförderungen mit anderen Mitteln innerhalb der Union indirekt wieder Grenzkontrollen eingeführt würden. Im Oktober 2019 hat der belgische Verfassungsgerichtshof dem Gerichtshof zehn Fragen zur Vorabentscheidung vorgelegt, die u. a. die Gültigkeit der PNR-Richtlinie sowie die Vereinbarkeit des Gesetzes vom 25. Dezember 2016 mit dem Unionsrecht betreffen.

In seinem heutigen Urteil stellt der Gerichtshof erstens fest, dass die Prüfung der vorgelegten Fragen nichts ergeben hat, was die Gültigkeit der PNR-Richtlinie berühren könnte, da seine Auslegung ihrer Bestimmungen im Licht der Grundrechte, die in den Art. 7, 8 und 21 sowie in Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta) verankert sind, die Vereinbarkeit dieser Richtlinie mit den genannten Artikeln gewährleistet.

Zunächst weist der Gerichtshof darauf hin, dass ein Rechtsakt der Union so weit wie möglich in einer seine Gültigkeit nicht in Frage stellenden Weise und im Einklang mit dem gesamten Primärrecht und insbesondere mit den Bestimmungen der Charta auszulegen ist. Dabei müssen die Mitgliedstaaten darauf achten, dass sie sich nicht auf eine Auslegung des Rechtsakts stützen, die mit den durch die Rechtsordnung der Union geschützten Grundrechten oder mit anderen in dieser Rechtsordnung anerkannten allgemeinen Grundsätzen kollidiert. Zur PNR-Richtlinie führt der Gerichtshof aus, dass eine ganze Reihe ihrer Erwägungsgründe und Bestimmungen eine solche Auslegung erfordern, und hebt die Bedeutung hervor, die der Unionsgesetzgeber – unter Bezugnahme auf ein hohes Datenschutzniveau – der uneingeschränkten Achtung der in der Charta verankerten Grundrechte beimisst.

Der Gerichtshof stellt fest, dass die PNR-Richtlinie mit fraglos schwerwiegenden Eingriffen in die durch die Art. 7 und 8 der Charta garantierten Rechte verbunden ist, insbesondere soweit sie auf die Schaffung eines Systems kontinuierlicher, nicht zielgerichteter und systematischer Überwachung abzielt, das die automatisierte Überprüfung personenbezogener Daten sämtlicher Personen einschließt, die Flugreisen unternehmen. Er weist darauf hin, dass die Möglichkeit für die Mitgliedstaaten, einen solchen Eingriff zu rechtfertigen, zu beurteilen ist, indem seine Schwere bestimmt und geprüft wird, ob die verfolgte dem Gemeinwohl dienende Zielsetzung dazu in angemessenem Verhältnis steht.

Der Gerichtshof kommt zu dem Schluss, dass die in der PNR-Richtlinie vorgesehene Übermittlung, Verarbeitung und Speicherung von PNR-Daten als auf das für die Bekämpfung terroristischer Straftaten und schwerer Kriminalität absolut Notwendige beschränkt angesehen werden kann, sofern die in der Richtlinie vorgesehenen Befugnisse eng ausgelegt werden. Hierzu enthält das heutige Urteil unter anderem folgende Ausführungen:

- Das durch die PNR-Richtlinie eingeführte System darf sich nur auf die in den Rubriken ihres Anhangs I aufgeführten, klar identifizierbaren und umschriebenen Informationen erstrecken, die in Zusammenhang mit dem durchgeführten Flug und dem betreffenden Fluggast stehen. Dies bedeutet bei einigen Rubriken dieses Anhangs, dass nur die dort ausdrücklich genannten Angaben erfasst werden.

- Die Anwendung des durch die PNR-Richtlinie geschaffenen Systems muss auf terroristische Straftaten und auf schwere Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit der Beförderung von Fluggästen beschränkt werden. Sie darf sich nicht auf strafbare Handlungen erstrecken, die zwar das in der Richtlinie vorgesehene Kriterium in Bezug auf den Schweregrad erfüllen und in ihrem Anhang II aufgeführt sind, angesichts der Besonderheiten des nationalen Strafrechtssystems aber zur gewöhnlichen Kriminalität gehören.

- Die etwaige Ausdehnung der Anwendung der PNR-Richtlinie auf alle oder einen Teil der EU-Flüge aufgrund der den Mitgliedstaaten in der Richtlinie eingeräumten Befugnis muss sich auf das absolut Notwendige beschränken. Sie muss Gegenstand einer wirksamen Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle sein können, deren Entscheidung bindend ist. Hierzu führt der Gerichtshof aus:

- Nur in einer Situation, in der es nach der Einschätzung des betreffenden Mitgliedstaats hinreichend konkrete Umstände für die Annahme gibt, dass er mit einer als real und aktuell oder vorhersehbar einzustufenden terroristischen Bedrohung konfrontiert ist, werden die Grenzen des absolut Notwendigen nicht überschritten, wenn die PNR-Richtlinie für einen auf das absolut Notwendige begrenzten, aber verlängerbaren Zeitraum auf alle EU-Flüge aus oder nach diesem Mitgliedstaat angewandt wird.

- Ohne eine solche terroristische Bedrohung darf die Anwendung der Richtlinie nicht auf alle EU-Flüge ausgedehnt werden, sondern muss sich auf EU-Flüge beschränken, die etwa bestimmte Flugverbindungen, bestimmte Reisemuster oder bestimmte Flughäfen betreffen, für die es nach der Einschätzung des betreffenden Mitgliedstaats Anhaltspunkte gibt, die eine Anwendung der Richtlinie rechtfertigen können. Die absolute Notwendigkeit ihrer Anwendung auf die ausgewählten EU-Flüge muss nach Maßgabe der Entwicklung der Bedingungen, die ihre Auswahl gerechtfertigt haben, regelmäßig überprüft werden.

- Für die Zwecke der Vorabüberprüfung der PNR-Daten, die dazu dient, diejenigen Personen zu ermitteln, die vor ihrer Ankunft oder ihrem Abflug genauer überprüft werden müssen, und deren erster Schritt in automatisierten Verarbeitungen besteht, darf die PNR-Zentralstelle diese Daten zum einen nur mit Datenbanken betreffend Personen oder Gegenstände, nach denen gefahndet wird oder die Gegenstand einer Ausschreibung sind, abgleichen. Diese Datenbanken müssen frei von Diskriminierung sein und von den zuständigen Behörden im Zusammenhang mit der Bekämpfung terroristischer Straftaten und schwerer Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit der Beförderung von Fluggästen betrieben werden. Zum anderen darf die PNR-Zentralstelle bei der Vorabüberprüfung anhand im Voraus festgelegter Kriterien keine Technologien der künstlichen Intelligenz im Rahmen selbstlernender Systeme („machine learning“) heranziehen, die – ohne menschliche Einwirkung und Kontrolle – den Bewertungsprozess und insbesondere die Bewertungskriterien, auf denen das Ergebnis der Anwendung dieses Prozesses beruht, sowie die Gewichtung der Kriterien ändern können. Die genannten Kriterien sind so festzulegen, dass sie speziell auf Personen abzielen, bei denen der begründete Verdacht einer Beteiligung an
terroristischen Straftaten oder schwerer Kriminalität im Sinne dieser Richtlinie bestehen könnte, und dass sowohl „belastende“ als auch „entlastende“ Gesichtspunkte berücksichtigt werden; sie dürfen nicht zu unmittelbaren oder mittelbaren Diskriminierungen führen.

- Angesichts der Fehlerquote, die solchen automatisierten Verarbeitungen der PNR-Daten innewohnt, und der erheblichen Zahl „falsch positiver“ Ergebnisse, die in den Jahren 2018 und 2019 bei ihrer Anwendung auftraten, hängt die Eignung des durch die PNR-Richtlinie geschaffenen Systems zur Erreichung der verfolgten Ziele im Wesentlichen vom ordnungsgemäßen Ablauf der Überprüfung der im Rahmen dieser Verarbeitungen erzielten Treffer ab, die von der PNR-Zentralstelle in einem zweiten Schritt mit nicht-automatisierten Mitteln vorgenommen wird. Insoweit müssen die Mitgliedstaaten klare und präzise Regeln vorsehen, die Leitlinien und einen Rahmen für die von den Bediensteten der PNR-Zentralstelle, die mit der individuellen Überprüfung betraut sind, vorzunehmende Analyse vorgeben, um für die uneingeschränkte Achtung der in den Art. 7, 8 und 21 der Charta verankerten Grundrechte zu sorgen und insbesondere eine dem Diskriminierungsverbot Rechnung tragende kohärente Verwaltungspraxis innerhalb der PNR-Zentralstelle zu gewährleisten. Insbesondere müssen sie sich vergewissern, dass die PNR-Zentralstelle Kriterien für die objektive Überprüfung aufstellt, die es ihren Bediensteten ermöglichen, zum einen zu prüfen, ob und inwieweit ein Treffer (hit) tatsächlich eine Person betrifft, die möglicherweise an terroristischen Straftaten oder an schwerer Kriminalität beteiligt ist, und zum anderen, ob die automatisierten Verarbeitungen keinen diskriminierenden Charakter haben. Dabei müssen sich die zuständigen Behörden vergewissern, dass der Betroffene die Funktionsweise der im Voraus festgelegten Prüfkriterien und der Programme zu ihrer Anwendung verstehen und deshalb in Kenntnis aller Umstände entscheiden kann, ob er von seinem Recht auf Einlegung von Rechtsbehelfen Gebrauch macht. Desgleichen müssen im Rahmen eines solchen Rechtsbehelfs das mit der Rechtmäßigkeitsprüfung der Entscheidung der zuständigen Behörden betraute Gericht sowie, außer in Fällen einer Bedrohung der Sicherheit des Staates, der Betroffene selbst sowohl von allen Gründen als auch von den Beweisen, auf deren Grundlage diese Entscheidung getroffen wurde, Kenntnis erlangen können,
einschließlich der im Voraus festgelegten Prüfkriterien und der Funktionsweise der Programme, mit denen diese Kriterien angewandt werden.

- Nachträglich, d. h. nach der Ankunft oder dem Abflug der betreffenden Person, darf eine Zurverfügungstellung und Überprüfung der PNR-Daten nur aufgrund neuer Umstände und objektiver Anhaltspunkte erfolgen, die entweder geeignet sind, den begründeten Verdacht einer Beteiligung dieser Person an schwerer Kriminalität, die – zumindest mittelbar – einen objektiven Zusammenhang mit der Beförderung von Fluggästen aufweist, zu wecken, oder den Schluss zulassen, dass diese Daten in einem konkreten Fall einen wirksamen Beitrag zur Bekämpfung terroristischer Straftaten, die einen solchen Zusammenhang aufweisen, leisten könnten. Die Zurverfügungstellung der PNR-Daten zum Zweck einer solchen nachträglichen Überprüfung muss grundsätzlich – außer in hinreichend begründeten Eilfällen – einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle im Anschluss an einen mit Gründen versehenen Antrag der zuständigen Behörden unterworfen werden, unabhängig davon, ob der Antrag vor oder nach Ablauf der Frist von sechs Monaten ab der Übermittlung dieser Daten an die PNRZentralstelle gestellt wurde.

Zweitens stellt der Gerichtshof fest, dass die PNR-Richtlinie im Licht der Charta nationalen Rechtsvorschriften entgegensteht, nach denen die Verarbeitung der PNR-Daten, die im Einklang mit dieser Richtlinie erhoben wurden, zu anderen als den in Art. 1 Abs. 2 der Richtlinie ausdrücklich genannten Zwecken zulässig ist.

Drittens entscheidet der Gerichtshof in Bezug auf die Speicherfrist der PNR-Daten, dass Art. 12 der PNR-Richtlinie im Licht der Art. 7 und 8 sowie von Art. 52 Abs. 1 der Charta nationalen Rechtsvorschriften entgegensteht, die eine allgemeine, unterschiedslos für alle Fluggäste geltende Speicherfrist dieser Daten von fünf Jahren vorsehen.

Dazu führt der Gerichtshof aus, dass sich nach Ablauf der ursprünglichen sechsmonatigen Speicherfrist die Speicherung von PNR-Daten nicht auf das absolut Notwendige beschränkt, wenn sie sich auf Fluggäste bezieht, bei denen weder die Vorabüberprüfung noch etwaige Überprüfungen während der ursprünglichen sechsmonatigen Speicherfrist oder irgendein anderer Umstand objektive Anhaltspunkte – wie die Tatsache, dass die PNR-Daten der betreffenden Fluggäste im Rahmen der Vorabüberprüfung zu einem überprüften Treffer führten – geliefert haben, die eine Gefahr im Bereich terroristischer Straftaten oder schwerer Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit ihrer Flugreise belegen können. Während des ursprünglichen Zeitraums von sechs Monaten überschreitet die Speicherung der PNR-Daten aller Fluggäste, für die das durch die PNR-Richtlinie geschaffene System gilt, dagegen grundsätzlich nicht die Grenzen des absolut Notwendigen.
Viertens entscheidet der Gerichtshof, dass das Unionsrecht nationalen Rechtsvorschriften entgegensteht, die, ohne dass der betreffende Mitgliedstaat mit einer realen und aktuellen oder vorhersehbaren terroristischen Bedrohung konfrontiert ist, ein System vorsehen, wonach die PNR-Daten aller EU-Flüge und aller Beförderungen mit anderen Mitteln innerhalb der Union aus diesem, in diesen oder durch diesen Mitgliedstaat zur Bekämpfung terroristischer Straftaten und schwerer Kriminalität von den
Beförderungsunternehmen und den Reiseunternehmen übermittelt sowie von den zuständigen Behörden verarbeitet werden. In einer solchen Situation muss die Anwendung des durch die PNR-Richtlinie geschaffenen Systems auf die Übermittlung und Verarbeitung der PNR-Daten von Flügen und/oder Beförderungen beschränkt werden, die insbesondere bestimmte Verbindungen, bestimmte Reisemuster oder bestimmte Flughäfen, Bahnhöfe oder Seehäfen betreffen, für die es Anhaltspunkte gibt, die seine Anwendung rechtfertigen können. Überdies steht das Unionsrecht nationalen Rechtsvorschriften entgegen, die zum Zweck der Verbesserung der Grenzkontrollen und der Bekämpfung illegaler Einwanderung ein solches System der Übermittlung und Verarbeitung der genannten Daten vorsehen.

Den Volltext der Entscheidung finden Sie hier:

EuGH-Generalanwalt
Schlussanträge von 27.01.2022
Rechtssache C-817/19
Ligue des droits humains

Der EuGH-Generalanwalt kommt in seinen Schlussanträgen zu dem Ergebnis, dass die allgemeine Übermittlung und automatisierte Verarbeitung von Fluggastdatensätzen mit den Grundrechten auf Achtung des Privatlebens und auf Schutz personenbezogener Daten vereinbar ist.

Die Pressemitteilung des EuGH:

Generalanwalt Pitruzzella: Übermittlung sowie allgemeine und unterschiedslose automatisierte Verarbeitung von Fluggastdatensätzen sind mit den Grundrechten auf Achtung des Privatlebens und auf Schutz personenbezogener Daten vereinbar Eine allgemeine und unterschiedslose Speicherung von Fluggastdatensätzen in nicht unkenntlich gemachter Form könne hingegen nur zur Abwendung einer realen, aktuellen oder vorhersehbaren ernsten Bedrohung für die Sicherheit der Mitgliedstaaten gerechtfertigt werden und sofern die Dauer dieser Speicherung auf das unbedingt Notwendige beschränkt ist.

Die in der Fluggastdaten-Richtlinie vorgesehene Übermittlung von Daten der Rubrik „Allgemeine Hinweise“ genüge zudem nicht den Anforderungen der Grundrechtecharte in Bezug auf Klarheit und Bestimmtheit Die Nutzung von Fluggastdaten ist ein wesentliches Element der Bekämpfung von Terrorismus und schwerer Kriminalität. Zu diesem Zweck schreibt die Fluggastdaten-Richtlinie (PNRRichtlinie) die systematische Verarbeitung einer großen Zahl von Fluggastdaten bei der Einreise in die bzw. bei der Ausreise aus der Europäischen Union vor. Darüber hinaus sieht Art. 2 dieser Richtlinie für die Mitgliedstaaten die Möglichkeit vor, diese Richtlinie auch auf Flüge innerhalb der Europäischen Union anzuwenden.

Die Ligue des droits humains (Liga für Menschenrechte) ist ein gemeinnütziger Verein, der im Juli 2017 bei der belgischen Cour constitutionnelle (Verfassungsgerichtshof) eine Nichtigkeitsklage gegen das Gesetz vom 25. Dezember 2016 zur Umsetzung der PNR-Richtlinie und der Richtlinie über die Übermittlung von Angaben über beförderte Personen (API-Richtlinie) in das belgische Recht erhob. Nach Auffassung der Liga für Menschenrechte verletzt dieses Gesetz das im belgischen und im Unionsrecht garantierte Recht auf Achtung des Privatlebens und auf Schutz personenbezogener Daten. Der Verein beanstandet die sehr weite Definition der Fluggastdaten und den allgemeinen Charakter der Erhebung, Übermittlung und Verarbeitung dieser Daten. Die Liga für Menschenrechte ist der Ansicht, dass das Gesetz darüber hinaus die Personenfreizügigkeit einschränke, da es indirekt wieder Grenzkontrollen einführe, indem es das „PNR-System“ auf Flüge innerhalb der EU ausweite.

Im Oktober 2019 legte der belgische Verfassungsgerichtshof dem Europäischen Gerichtshof zehn Vorabentscheidungsfragen zur Gültigkeit und Auslegung der PNR-Richtlinie und der API-Richtlinie sowie zur Auslegung der Datenschutz-Grundverordnung (DSGVO) vor.

In seinen heutigen Schlussanträgen führt Generalanwalt Giovanni Pitruzzella zunächst aus, wenn Maßnahmen, die in die Grundrechte gemäß der Charta der Grundrechte der Europäischen Union (Charta) eingriffen, auf einem Unionsrechtsakt beruhten, sei es Aufgabe des Unionsgesetzgebers, die wesentlichen Elemente, die die Tragweite dieser Grundrechtseingriffe ausmachen, festzulegen. Nach der Rechtsprechung des Gerichtshofs seien Bestimmungen, die die Übermittlung personenbezogener Daten natürlicher Personen an Dritte, etwa eine Behörde, vorschreiben oder gestatten, bei fehlender Einwilligung dieser natürlichen Personen unabhängig von der späteren Verwendung der in Rede stehenden Daten als Eingriff in ihr Privatleben sowie als Eingriff in das Grundrecht auf Schutz personenbezogener Daten einzustufen. Diese Eingriffe könnten nur gerechtfertigt werden, wenn sie gesetzlich vorgesehen seien, den Wesensgehalt dieser Rechte achteten sowie unter Wahrung des Grundsatzes der Verhältnismäßigkeit erforderlich seien und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprächen.

Was erstens die personenbezogenen Daten anbelangt, die gemäß der PNR-Richtlinie von den Fluggesellschaften an die PNR-Zentralstellen zu übermitteln sind, führt der Generalanwalt aus, dass die Intensität und Schwere des Eingriffs in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, der mit einer die Ausübung dieser Rechte einschränkenden Maßnahme verbunden ist, vor allem von Umfang und Art der verarbeiteten Daten abhängt. Die Ermittlung dieser Daten sei daher ein wesentlicher Vorgang, der für jede Rechtsgrundlage, die eine solche Maßnahme einführt, zwingend – so klar und bestimmt wie möglich – vorzunehmen sei.

Nach der Feststellung, dass es den Anforderungen der Charta in Bezug auf Klarheit und Bestimmtheit nicht genüge, auf allgemeine Kategorien von Angaben zurückzugreifen, die die Art und den Umfang der zu übermittelnden Daten unzureichend festlegten, folgert der Generalanwalt, dass Anhang I Nr. 12 der PNR-Richtlinie ungültig sei, da diese Bestimmung in den Kategorien der zur übermittelnden Daten die Rubrik „Allgemeine Hinweise“ enthalte, die sämtliche Angaben erfassen solle, die von den Fluggesellschaften – zusätzlich zu den ausdrücklich in den anderen Ziffern dieses Anhangs I angeführten – bei ihrer Dienstleistungserbringung erhoben werden. Im Übrigen ist der Generalanwalt der Ansicht, dass die Daten, die gemäß der PNR-Richtlinie von den Fluggesellschaften den PNR-Zentralstellen zu übermitteln seien, für die mit dieser Richtlinie verfolgten Ziele erheblich seien, ihnen entsprächen und nicht über sie hinausgingen, und dass ihr Umfang nicht über das hinausgehe, was zur Erreichung dieser Ziele unbedingt erforderlich sei. Darüber hinaus sei diese Übermittlung mit hinreichenden Garantien versehen, die darauf abzielten, dass nur die ausdrücklich genannten Daten übermittelt sowie Sicherheit und Vertraulichkeit der übermittelten Daten gewährleistet würden. Ferner lege die PNR-Richtlinie ein generelles Verbot der Verarbeitung sensibler Daten fest, welches auch ihre Erhebung umfasse, so dass das „PNR-System“ ausreichende Garantien vorsehe, die es in jeder Phase der Verarbeitung erhobener Daten ermöglichten auszuschließen, dass diese Verarbeitung geschützte Merkmale direkt oder indirekt berücksichtige.

Zweitens ist der Generalanwalt der Auffassung, der allgemeine und unterschiedslose Charakter der Übermittlung der PNR-Daten und der Vorabüberprüfung der Fluggäste durch den automatisierten Abgleich dieser Daten sei mit Art. 7 und 8 der Charta vereinbar, in denen die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten verankert seien. Insbesondere sei die Rechtsprechung des Gerichtshofs zu Speicherung von Daten und Zugang zu Daten im Bereich der elektronischen Kommunikation5 nicht auf das in der PNR-Richtlinie vorgesehene System übertragbar. Mit der Einführung eines auf Unionsebene harmonisierten Systems der PNR-Datenverarbeitung sowohl für Drittstaatsflüge als auch – bei den Staaten, die von Art. 2 der PNR-Richtlinie Gebrauch gemacht haben – für Flüge innerhalb EU könne gewährleistet werden, dass die Verarbeitung dieser Daten unter Einhaltung des durch diese Richtlinie festgelegten hohen Schutzniveaus für die Grundrechte der Art. 7 und 8 der Charta erfolge.

Allgemein unterstreicht der Generalanwalt die grundlegende Bedeutung der Kontrolle durch eine unabhängige Kontrollstelle im Rahmen des von der PNR-Richtlinie geschaffenen Garantiesystems, die befugt ist, die Rechtmäßigkeit der Datenverarbeitung zu prüfen, Ermittlungen, Inspektionen und Audits durchzuführen sowie Beschwerden betroffener Personen zu bearbeiten. Insofern sei es von größter Wichtigkeit, dass die Mitgliedstaaten bei der Umsetzung dieser Richtlinie in nationales Recht ihrer nationalen Kontrollstelle diese Befugnisse in vollem Umfang zuerkennen und sie mit den zur Erfüllung ihrer Aufgabe erforderlichen materiellen und personellen Mitteln ausstatten.

Was insbesondere die Vorabüberprüfung der Fluggäste anbelangt, weist der Generalanwalt in Bezug auf den ersten Teil dieser Überprüfung, den Abgleich der PNR-Daten mit Datenbanken, die zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität maßgeblich sind, darauf hin, dass der Begriff der „maßgeblichen Datenbanken“ im Einklang mit den Anforderungen der Charta in Bezug auf Klarheit und Bestimmtheit und unter Berücksichtigung der Ziele der PNR-Richtlinie auszulegen sei. In einer solchen Auslegung erfasse dieser Begriff nur die von den zuständigen Behörden betriebenen nationalen Datenbanken sowie die Unions- und internationalen Datenbanken, die von diesen Behörden unmittelbar im Rahmen ihrer Aufgabe benutzt würden und die zudem in direktem und engem Zusammenhang mit den mit der PNR-Richtlinie verfolgten Zielen der Bekämpfung von Terrorismus und schwerer Kriminalität stehen müssten was bedeute, dass sie für diese Ziele entwickelt worden seien. Was den zweiten Teil dieser Vorabüberprüfung, den automatisierten Abgleich von PNR-Daten anhand im Voraus festgelegter Kriterien, anbelangt, ist der Generalanwalt der Ansicht, dass dieser Abgleich nicht mittels auf maschinellem Lernen basierenden Systemen künstlicher Intelligenz erfolgen darf, die keine Rückschlüsse darauf ermöglichten, aus welchen Gründen der Algorithmus eine positive Übereinstimmung feststellt.

Drittens und im Hinblick auf die Frage, ob das Unionsrecht einer nationalen Regelung entgegensteht, die für PNR-Daten eine allgemeine Speicherfrist von fünf Jahren vorsieht, ohne danach zu unterscheiden, ob sich im Rahmen der Vorabüberprüfung herausstellt, dass die betroffenen Fluggäste ein Risiko für die öffentliche Sicherheit darstellen können oder nicht, schlägt der Generalanwalt vor, die PNR-Richtlinie im Einklang mit der Charta dahin auszulegen, dass die Speicherung der von den Fluggesellschaften an die PNR-Zentralstelle übermittelten PNR-Daten für einen Zeitraum von fünf Jahren nach Durchführung der Vorabüberprüfung nur dann zulässig sei, wenn auf der Grundlage objektiver Kriterien ein Zusammenhang zwischen diesen Daten und der Bekämpfung von Terrorismus und schwerer Kriminalität festgestellt werde. Eine allgemeine und unterschiedslose Speicherung von PNR-Daten in nicht unkenntlich gemachter Form könne nur zur Abwendung einer als real, aktuell oder vorhersehbar einzustufenden ernsten Bedrohung für die Sicherheit der Mitgliedstaaten gerechtfertigt werden, beispielsweise im Zusammenhang mit terroristischen Aktivitäten, und sofern die Dauer dieser Speicherung auf das unbedingt Notwendige beschränkt ist.

Den Volltext der Schlussanträge finden Sie hier:

VG Wiesbaden
Beschluss vom 13.05.2020 - 6 K 805/19.W
Beschluss vom 15.05.2020 - 6 K 806/19.WI

Das VG Wiesbaden hat dem EuGH zahlreiche Fragen zum Fluggastdatengesetz bzw. der PNR-Richtlinie zur Entscheidung vorgelegt.

Die Pressemitteilung des Gerichts:

Vorschriften des Fluggastdatengesetzes auf dem Prüfstand

Mit Beschlüssen vom 13. und 15. Mai 2020 (Az.: 6 K 805/19.WI und 6 K 806/19.WI) hat die 6. Kammer des VG Wiesbaden im Rahmen von Vorabentscheidungsersuchen dem Europäischen Gerichtshof eine Vielzahl von Fragen betreffend das Fluggastdatengesetz vorgelegt.

In beiden Verfahren begehren die jeweiligen Kläger die Löschung ihrer sogenannten Fluggastdaten (PNR-Daten), die derzeit durch das Bundeskriminalamt gespeichert werden. Das Verfahren 6 K 805/19.WI betrifft dabei Flüge aus der Europäischen Union in einen Drittstaat, das Verfahren 6 K 806/19.WI betrifft Flüge innerhalb der Europäischen Union.

Der Hintergrund der Verfahren ist der folgende: Am 27. April 2016 erließen das Europäische Parlament und der Rat die Richtlinie (EU) 2016/681 (sog. PNR-Richtlinie). Diese schreibt vor, dass die Fluggesellschaften bei sämtlichen Flügen von der Union in Drittstaaten und von Drittstaaten in die Union eine Vielzahl von personenbezogenen Daten aller Fluggäste an von den jeweiligen Mitgliedstaaten einzurichtende Zentralstellen (in Deutschland: das Bundeskriminalamt) übermitteln müssen, wo diese Daten automatisiert mit Datenbanken und Algorithmen (sog. Mustern) abgeglichen und fünf Jahre lang gespeichert werden. Auch eine Weitergabe an andere Behörden im In- und Ausland ist gestattet. Diese Maßnahmen sollen der Bekämpfung von Terrorismus und schwerer Kriminalität dienen. Die Bundesrepublik Deutschland hat, ebenso wie viele andere EU-Mitgliedstaaten, mit Erlass des Fluggastdatengesetzes vom 6. Juni 2017 – dem deutschen Umsetzungsgesetz zur PNR-Richtlinie – die Richtlinie umgesetzt und von der durch die Richtlinie explizit eröffneten Möglichkeit Gebrauch gemacht, die Fluggastdatenverarbeitung auch auf alle innereuropäischen Flüge auszuweiten.

Die durch das VG Wiesbaden nun dem Europäischen Gerichtshof zur Beantwortung vorlegten Fragen betreffen im Wesentlichen die Vereinbarkeit der PNR-Richtlinie und des Fluggastdatengesetzes mit der Charta der Grundrechte der Europäischen Union, insbesondere den dort verankerten Grundrechten auf Achtung des Privat- und Familienlebens und dem Schutz personenbezogener Daten, sowie mit der Datenschutz-Grundverordnung und (im Falle der innereuropäischen Flüge) mit der durch den AEUV (Vertrag über die Arbeitsweise der Europäischen Union) innerhalb der Europäischen Union garantierten Freizügigkeit.

Das Gericht hat erhebliche Zweifel, ob die PNR-Richtlinie und das deutsche Umsetzungsgesetz europarechtskonform sind. Es hält die Fluggastdatenverarbeitung mit der Vorratsdatenspeicherung von Telekommunikationsdaten für vergleichbar und erachtet die damit verbundenen Grundrechtseingriffe trotz des verfolgten Ziels (Bekämpfung von Terrorismus und schwerer Kriminalität) als nicht gerechtfertigt.

Als zweifelhaft erachtet das Gericht unter anderem

den Umfang der erhobenen und verarbeiteten Fluggastdaten,
die Verhältnismäßigkeit der 5-jährigen Speicherdauer für die Fluggastdaten,
die Bestimmtheit mehrerer Vorschriften der Richtlinie und des Umsetzungsgesetzes,
ob die Fluggäste über die Datenverarbeitung ausreichend informiert werden,
ob die Weitergabe an Drittstaaten und inländisch an das Bundesamt für Verfassungsschutz zulässig ist und
ob die Mehrfacherfassung der Fluggäste (durch Start- und Zielland des jeweiligen innereuropäischen Fluges) gerechtfertigt ist.
Die Beschlüsse sind unanfechtbar. Die Verfahren werden nach der Entscheidung des Europäischen Gerichtshofes über die Vorabentscheidungsersuchen durch das VG Wiesbaden fortgesetzt werden.

Anhang:
Art.7 GRCh - Achtung des Privat- und Familienlebens
Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation.

Art. 8 GRCh - Schutz personenbezogener Daten
(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.
(2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken.
(3) Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht.

Art. 21 AEUV - Freizügigkeit
(1) Jeder Unionsbürger hat das Recht, sich im Hoheitsgebiet der Mitgliedstaaten vorbehaltlich der in den Verträgen und in den Durchführungsvorschriften vorgesehenen Beschränkungen und Bedingungen frei zu bewegen und aufzuhalten.
(2) […]
(3) […]

Art. 67 AEUV - Grundsätze
(1) Die Union bildet einen Raum der Freiheit, der Sicherheit und des Rechts, in dem die Grundrechte und die verschiedenen Rechtsordnungen und -traditionen der Mitgliedstaaten geachtet werden.
(2) Sie stellt sicher, dass Personen an den Binnengrenzen nicht kontrolliert werden, und entwickelt eine gemeinsame Politik in den Bereichen Asyl, Einwanderung und Kontrollen an den Außengrenzen, die sich auf die Solidarität der Mitgliedstaaten gründet und gegenüber Drittstaatsangehörigen angemessen ist. Für die Zwecke dieses Titels werden Staatenlose den Drittstaatsangehörigen gleichgestellt.
(3) […]
(4) […]