Die Regierungschefs der EU-Mitgliedstaaten haben den Rat und das Europäische Parlament aufgefordert, nun doch eine europäische Fluggastdatendatensammlung zu PNR-Daten (Passenger Name Records) einzurichten. „Arbeiten“ hierzu sollten noch noch vor Jahresende abgeschlossen werden. Eine entsprechende Mitteilung findet sich in den Schlussfolgerungen des außerordentlichen Gipfeltreffens vom Samstag. Damit wird eine damals noch vage Ankündigung des Rates vom Juni diesen Jahres bestätigt.

Die Maßnahme steht in Zusammenhang mit der Bekämpfung „ausländischer Kämpfer“, die etwa in Syrien oder dem Irak in islamistischen Gruppen an kriegerischen Handlungen beteiligt sind. Befürchtet wird, dass diese gut ausgebildet in ihre Herkunftsländer in der EU zurückkehren und dort Anschläge verüben. Im Dokument ist die Rede von einem „Zustrom“ nach Europa, der „eingedämmt“ werden solle. Die Fluggastdatensammlung soll helfen, verdächtige Reisebewegungen von „ausländischen Kämpfern“ aufzuspüren und sie zu verfolgen. Insbesondere Großbritannien hatte sich für das neue System ins Zeug gelegt.

Der neuerliche Vorstoß für ein EU-PNR-System ist Teil eines „Aktionsplans gegen die Bedrohung durch zurückkehrende Dschihadisten“, der bei einem informellen EU-Ministertreffen in Mailand zwischen Deutschland, Frankreich, Belgien, Großbritannien, Italien, Schweden, Spanien, Dänemark und den Niederlanden vereinbart worden war. Zu den weiteren Maßnahmen gehören die Nutzung des Schengener Informationssystems (SIS) für klammheimliche Fahndungen sowie „gezielte Grenzkontrollen“.

„Risikobewertung“ von Fluggästen

Abkommen zum Austausch von Passagierdaten existieren bereits mit Australien, Kanada und den USA. Sie sollen einer „Risikobewertung“ von Fluggästen dienen, alle Informationen werden mit heimischen Datensammlungen von Polizeien oder Geheimdiensten abgeglichen. Angeblich werden die aus Europa kommenden PNR-Daten auch vom US-Militärgeheimdienst NSA genutzt. Ihre Weitergabe ist verpflichtend, ansonsten werden Landung oder Überflug betroffener Maschinen verweigert. Auch Russland, Mexiko und Japan haben angedroht, Landegenehmigungen zukünftig nur nach Weitergabe von PNR-Daten zu gestatten. Russland will das System sogar auf Busreisen ausdehnen.

Diese Woche befasst sich das EU-Parlament erstmals mit einer Überprüfung des Abkommens mit Australien. Diskutiert wird auch, inwiefern die Erkenntnisse aus der Analyse PNR-Daten von Australien nach eigenem Ermessen – also anlasslos – an Strafverfolgungsbehörden in der EU oder an Europol übermittelt werden dürfen. Im Anhang des Abkommens findet sich eine Reihe von Beispielen, wie ein PNR-System genutzt werden kann. Demnach habe sich die Vorratsdatenspeicherung vor allem gegen Drogenhandel bewährt.

Die eigene Vorratsdatenspeicherung und Verarbeitung von Passagierdaten steht seit langem auf der Tagesordnung von EU-Ratsarbeitsgruppen. Zuerst hatte die Kommission 2007 einen Entwurf für einen Rahmenbeschluss des Rates zur „Verwendung von Fluggastdatensätzen zu Strafverfolgungszwecken“ vorgelegt. Nach Inkrafttreten des Vertrags von Lissabon musste der Vorschlag jedoch zunächst rechtlich neu gefasst werden. Das Europäische Parlament hatte bereits damals den unzureichenden Schutz personenbezogener Daten moniert.

Speicherung für mindestens fünf Jahre

Nach dem versuchten Anschlag an Bord eines Fluges von Amsterdam nach Detroit im Dezember 2009 hatten sich die Mehrheit der EU-Justiz- und Innenminister für eine Neuauflage des Vorschlags ausgesprochen. Anfang 2011 legte die Kommission schließlich mit einem Richtlinienvorschlag nach. Demnach sollen vor jedem Flug alle (!) in Buchungs- und Abfertigungssystemen anfallende persönlichen Daten der Reisenden an die Grenzbehörden des Ziellandes übermittelt werden.

Verarbeitet würden ausführliche Kontaktangaben, die Reiseroute, ausstellendes Reisebüro, Kreditkartenangaben oder Essenswünsche. Ähnliche Daten werden bereits jetzt in den sogenannten „Advanced Passenger Information“ (API) zwischen Fluggesellschaften und Grenzbehörden getauscht. Diese sind allerdings weniger umfangreich. Sollte eine EU-PNR-Richtlinie verabschiedet werden, würden die API-Systeme integriert.

Die PNR-Informationen sollen nach Willen der Kommission mindestens fünf Jahre gespeichert werden. Im neuen Vorschlag ist allerdings von einer Maskierung die Rede, allerdings wird nirgends ein Verfahren hierzu bestimmt. Nach einer „offenen“ Speicherfrist von 30 Tagen würden die Daten „anonymisiert“, könnten aber jederzeit wieder hergestellt werden. Die Daten sollen an eine Zentralstelle übermittelt werden, wo sie von den zuständigen Behörden der Mitgliedstaaten abgerufen werden können.

Schelte vom Bundesrat

Viele Mitgliedstaaten hatten den Richtlinienentwurf wegen zu hoher Kosten, aber auch aus Datenschutzgründen kritisiert. Auch der deutsche Bundesrat hatte sich entsprechend geäußert: Der Richtlinienvorschlag setze falsche Akzente, der Mehrwert einer anlassunabhängigen Speicherung von PNR-Daten sei nicht nachgewiesen. Die Speicherfristen seien unverhältnismäßig lang, die Möglichkeiten zur „Re-Identifizierung“ (nach „Anonymisierung“) müsse „auf das unabweisbar erforderliche Maß begrenzt werden“.

Nach Maßgabe des Urteils des Bundesverfassungsgerichtes zur Vorratsdatenspeicherung verlangt der Bundesrat eine „umfassende verfassungsrechtliche Prüfung des Fluggastdatenkonzepts“. Denn Daten würden „ohne Anlass“ gespeichert, also „ohne Anknüpfung an ein zurechenbar vorwerfbares Verhalten“. Dies stelle einen besonders schweren Eingriff in das Recht auf informationelle Selbstbestimmung und das Recht auf Achtung des Privatlebens dar.

Es sei laut dem Bundesrat zudem nicht ersichtlich, wieso die bereits zulässige Verwendung von „API-Daten“ für die dargestellten Zwecke nicht ausreichend sein soll. Auch könne das Schengener Informationssystems (SIS) für die beschriebenen Zwecke genutzt werden.

Auch innereuropäische Flüge würden erfasst

Im Zuge der NSA-Affäre verschwand der Vorschlag in der Schublade – das hat sich geändert. Strittig war bislang, ob die neue Datensammlung auch EU-interne Flüge einbeziehen sollte, Estland, Dänemark, Belgien, Polen, Italien und Bulgarien hatten sich dafür ausgesprochen. Sogar die Zweckbestimmung könnte rigoros erweitert werden: Großbritannien, Österreich und Litauen forderten eine allgemeine Nutzung für „Einwanderungszwecke“. Schließlich wurde vorgeschlagen, es den einzelnen Mitgliedstaaten freizustellen, ob sie die Erfassung von PNR-Daten bei innereuropäischen Flügen anordnen.

Zur Debatte steht auch, den Tausch von PNR-Daten nur auf bestimmte Flüge („targeted flights“) zu beschränken. Mehrere Mitgliedstaaten lehnen dies aber ab, auch die Kommission hatte dagegen protestiert. Auch bei der Speicherdauer wurde kräftig nachverhandelt: Laut einer Pressemitteilung des Rates sei „eine Reihe von Mitglied­staaten“ der Auffassung, dass die erste, „offene“ Speicherfrist von 30 Tagen „aus operativer Sicht zu kurz ist“. Daher sei diese Frist auf zwei Jahre zu verlängern.

Urteil des Europäischen Gerichtshofs soll anlasslose Datensammlungen eigentlich beschränken

Nach derzeitigem Stand könnte die neue PNR-Datensammlung bei der Agentur für das Betriebsmanagement von IT-Großsystemen angesiedelt werden. Das PNR-System soll aber dezentral aufgebaut sein. Viele Mitgliedstaaten haben hierfür bereits Systeme errichtet, die dann vernetzt würden. Ohne dass die Einführung eines EU-PNR-Systems überhaupt vom Parlament beraten worden ist, finanziert die EU-Kommission entsprechende Vorbereitungen.

Noch ist allerdings nicht alles verloren: Denn nach dem Urteil des Europäischen Gerichtshofs über die EU-Richtlinie zur Vorratsdatenspeicherung von Telekommunikationsdaten müssen auch ähnlich anlasslose EU-Datensammlungen auf den Prüfstand. Hierzu gehört neben den PNR-Abkommen auch das Abkommen zur Weitergabe von Finanztransaktionsdaten an die USA.