Neues von der transatlantischen Datenübermittlung – der EuGH setzt sich für den Datenschutz der Unionsbürger auch in Kanada ein

Der EuGH hat der personenbezogenen Datenverarbeitung im Falle der Fluggastdatenerfassung im Rahmen seines Gutachtens 1/15 vom 26. Juli 2017 eine Absage erteilt (siehe dazu auch schon den Beitrag von Axel Spies im beck-blog, https://community.beck.de/2017/07/26/fluggastdatenspeicherung-pnr-neue-n...). Dieses Ergebnis fügt sich nahtlos in eine Reihe weiterer kritischer Entscheidungen des höchsten europäischen Gerichts zum Themenfeld der staatlichen Datenverarbeitung ein, in denen es die hohe Bedeutung von Datenschutz und Privatleben betonte, hierzu gehören die mittlerweile schon berühmte „Vorratsdatenspeicherung“ (Rechtssachen C-293/12 und C-594/12) und das „Safe-Harbor-Abkommen“ (Rs. C-362/14).

Das Fluggastdaten-Abkommen (PNR)

Über längere Zeit wurde zwischen Kanada und der Europäischen Union ein Abkommen über die Übermittlung und Verarbeitung von Fluggastdatensätzen, auch bekannt als Passenger Name Records oder kurz PNR, verhandelt, das letztendlich 2014 unterzeichnet wurde. Das Europäische Parlament stimmte dem vom Rat der EU eingebrachten Abkommen jedoch nicht zu, sondern rief den EUGH an, um überprüfen zu lassen, ob das ausgehandelte Abkommen als solches mit dem Unionsrecht, vor allem mit dem Schutz des Privatlebens und der personenbezogenen Daten, vereinbar ist. Das Abkommen bezweckt, die öffentliche Sicherheit zu gewährleisten, indem die PNR-Daten an Kanada übersandt und dort unter anderem im Rahmen der automatisierten Datenverarbeitung analysiert werden, um so Terrorismus und grenzübergreifende schwere Kriminalität zu bekämpfen. Zu den PNR-Daten gehören außer dem Namen des Fluggasts bzw. der Fluggäste u. a. Informationen, die für die Reservierung erforderlich sind, wie die Daten des geplanten Fluges und die Reiseroute, Flugscheininformationen, Gruppen von Personen, die unter derselben Reservierungsnummer registriert sind, die Kontaktangaben des Fluggasts bzw. der Fluggäste, Zahlungs- oder Abrechnungsinformationen, Informationen zum Gepäck und allgemeine Eintragungen über die Fluggäste. Die Daten sollen zudem von mitgliedsstaatlichen Behörden wie beispielsweise Europol genutzt werden können. Mittel zur Durchsetzung dieses Zwecks sind vor allem die Speicherung der PNR-Daten für fünf Jahre, wobei verschiedene Vorkehrungen zur Sicherung von Fluggastrechten getroffen werden sollen, und andererseits die automatische Analyse der Daten anhand von vordefinierten Kriterien und Maßstäben. Als Maßnahmen zur Sicherung der Rechte der Betroffenen sind verschiedene datenschutzrechtliche Instrumente vorgesehen, hierzu gehören die Unkenntlichmachung sensibler irrelevanter Daten und verschiedene Rechte in Bezug auf den Zugang zu den Daten, vor allem aber auch die Option des Bürgers, verwaltungsrechtliche oder gerichtliche Rechtsbehelfe einzulegen.

Eingriffe in die Grundrechte der Fluggäste

Zunächst stellt der EuGH in Bezug auf das Abkommen fest, dass die Weiterleitung der Daten an Kanada und die anschließende Verarbeitung einen Eingriff in das Grundrecht auf Achtung des Privatlebens nach Art. 7 der Grundrechtecharta darstellt. Überdies unterliege die Verarbeitung den Anforderungen des Art. 8 der Charta, sodass die darin vorgesehenen Erfordernisse des Datenschutzes gewährleistet werden müssten. Der EuGH merkt darüber hinausgehend an, dass manche der erhobenen Daten separat betrachtet keine Schlüsse auf das Privatleben eines Passagiers zulassen, jedoch sieht das Gericht in Betrachtung der Gesamtheit der erhobenen Informationen die Möglichkeit, den „gesamten Reiseverlauf, Reisegewohnheiten, Beziehungen zwischen zwei oder mehreren Personen sowie Informationen über die finanzielle Situation der Fluggäste, ihre Ernährungsgewohnheiten oder ihren Gesundheitszustand“ in Erfahrung zu bringen. Über diese kumulierten Bezugspunkte wären somit letztlich mittelbar auch Daten über das Privatleben von der Fluggastdatenspeicherung umfasst. Eine ähnliche Problematik stellt sich auch für die Speicherung und Auswertung von Verkehrsdaten, beispielsweise im Rahmen der Vorratsdatenspeicherung.

Keine hinreichenden Rechtfertigungsgründe

Eingriffe in die vorgenannten Rechte der Charta, wie sie durch das PNR-Abkommen vorgesehen sind, müssen zu ihrer Rechtfertigung stets den Verhältnismäßigkeitsgrundsatz beachten. Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten können dabei nur verhältnismäßig sein, wenn sie auf das absolut Notwendige beschränkt sind. Das geplante Abkommen berührt jedoch nicht den Kern der grundrechtlichen Gewährleistungen, schränkt also nicht den Wesensgehalt von Art. 7 und 8 ein und verfolgt darüber hinaus nach der Auffassung des EuGH auch einen legitimen Zweck, nämlich die Bekämpfung von Terrorismus, grenzüberschreitender Kriminalität und dadurch letztlich die Gewährleistung der öffentlichen Sicherheit. Der EuGH sieht das Abkommen auch nicht an der Geeignetheit, also an der Möglichkeit, den mit ihm bezweckten Erfolg zu erzielen, scheitern, da zuvor bereits die Canada Border Service Agency durch die Analyse von Fluggastdaten Erfolge für die öffentlichen Sicherheit in der Form von Festnahmen verbuchen konnte.

Die Vereinbarkeit mit den Grundrechten der Europäischen Union scheitert im Ergebnis aber daran, dass zum einen die erhobenen Daten in dem Abkommen nicht präzise genug bestimmt worden sind und das zum anderen hätte bedacht werden müssen, dass insbesondere die Verarbeitung von sensiblen Daten der Privatsphäre, wie sie sich aus der Gesamtheit der gesammelten PNR-Daten ergeben, gegen das Diskriminierungsverbot aus Art. 21 der Grundrechtcharta verstoßen kann. Eine Übersendung der Daten an Kanada kann deshalb nur in Frage kommen, wenn es bereits präzise und fundierte Hinweise auf eine Verletzung der öffentlichen Sicherheit durch Terrorismus oder auf grenzübergreifende, schwere Kriminalität gibt. Das Abkommen ist ausgehend von den vorgenannten Erwägungen gemäß der Feststellung des EuGH-Gutachtens im Ergebnis nicht mit den Grundrechten der Europäischen Union vereinbar.

Keine beliebige Weiterverarbeitung der Daten in Kanada

Die automatisierte Verarbeitung der PNR-Daten durch die Sicherheitsbehörden hingegen gehe nicht zwangsläufig über das absolut Notwendige hinaus, insbesondere würden dadurch auch die Einreise und die Sicherheitskontrolle vereinfacht. An die Verwendung der Daten während eines Aufenthalts in Kanada stellt der EuGH jedoch weitere Anforderungen. Da die Einreise bereits erfolgt ist, bedürfe es neuer Umstände, auf welche die Verarbeitung gestützt werden könne, mithin also objektive Kriterien, welche die Verwendung rechtfertigten. Außer in bereits evident hinreichend begründeten Fällen kann dem Erfordernis objektiver Kriterien, so der EuGH, durch die Kontrolle eines Gerichts oder einer unabhängigen Verwaltungsstelle genüge getan werden, wobei diese ihre Entscheidungsgründe in einem Antrag darlegen müssen.

Was passiert nach der Ausreise mit den PNR-Daten?

Nach der Ausreise der Fluggäste sei die Speicherung der Daten kein Mittel, das gemäß den grundrechtlichen Maßstäben auf das Nötige beschränkt ist. Zu diesem Zeitpunkt seien die Passagiere bereits kontrolliert worden, einmal vor Einreise und eventuell während des Aufenthaltes. Wird bei Fluggästen in diesem Rahmen also keine Gefahr festgestellt, so bestehe zwischen der Speicherung und den Zielen des Abkommens keine Relation mehr, die eine solche Speicherung weiterhin rechtfertigen könne. Gibt es laut EuGH Anhaltspunkte dafür, dass die PNR-Daten weiter genutzt werden müssen, so gilt für diese nach der Ausreise weiter verarbeiteten Daten in jedem Falle der Vorbehalt einer richterlichen Kontrolle bzw. der Überprüfung durch eine unabhängige Verwaltungsstelle.

Fazit und Ausblick

In der Summe ist das PNR-Abkommen in seiner jetzigen Form nicht mit den Grundrechten der EU vereinbar. Um diese Vereinbarkeit zu erreichen, bedarf es nach dem EuGH vor allem der präzisen Bestimmung der zu erhebenden PNR-Daten und der Kontrolle durch eine unabhängige Instanz bei der Verarbeitung selbiger. Auch müssen die für die automatische Analyse genutzten Kriterien zuverlässig und präzise bestimmbar sein. Nicht zuletzt dürfen für die Grundrechtskonformität nur Datenbanken verwendet werden, die von Kanada ausschließlich zum Zwecke der Bekämpfung von Terrorismus und grenzüberschreitender Kriminalität aufgesetzt wurden. Ferner muss den Fluggästen im Falle einer Verwendung der Daten im Anschluss an die Einreise nach Kanada oder nach der Ausreise sowie bei Weitergabe der Daten an Behörden ein Informationsrecht hierüber eingeräumt werden. Eine grenzenlose Speicherung und Weiterverarbeitung der PNR-Daten zu beliebigen staatlichen Interessen ist damit jedenfalls nicht möglich.

Hinweise zur bestehenden Moderationspraxis
Kommentar schreiben