EuGH Urteil - Verarbeitung von Fluggastdaten

Am 21.06.2022 entschied das EuGH, dass Flugunternehmer nur noch die notwendigsten personenbezogenen Daten Ihrer Reisepassagiere verarbeiten dürfen. Diese Daten dürfen nun nicht mehr anlasslos und so umfangreich wie bisher erhoben werden. 

Solange keine reale und aktuelle oder vorhersehbare terroristische Bedrohung eines Mitgliedstaates besteht, steht das Unionsrecht nationalen Rechtsvorschriften entgegen, die eine Übermittlung und Verarbeitung der PNR-Daten (Passenger Name Record) bei EU-Flügen sowie bei Beförderungen mit anderen Mitteln innerhalb der EU vorsehen. 

Die Ligue des droits humains (Liga für Menschenrechte, LDH) ist ein gemeinnütziger Verein, der im Juli 2017 beim belgischen Verfassungsgerichtshof eine Nichtigkeitsklage gegen das Gesetz vom 25. Dezember 2016 erhoben hat, mit dem die PNR-Richtlinie, die API-Richtlinie2 und die Richtlinie 2010/653 in belgisches Recht umgesetzt wurden. Die LDH macht geltend, dieses Gesetz verletze das im belgischen Recht und im Unionsrecht garantierte Recht auf Achtung des Privatlebens und auf Schutz personenbezogener Daten. Sie rügt den sehr großen Umfang der PNR-Daten sowie den allgemeinen Charakter ihrer Erhebung, Übermittlung und Verarbeitung. Außerdem schränke das Gesetz die Freizügigkeit ein, da mit ihm durch die Ausdehnung des „PNR-Systems" auf EU-Flüge sowie auf Beförderungen mit anderen Mitteln innerhalb der Union indirekt wieder Grenzkontrollen eingeführt würden. Im Oktober 2019 hat der belgische Verfassungsgerichtshof dem Gerichtshof zehn Fragen zur Vorabentscheidung vorgelegt, die u. a. die Gültigkeit der PNR-Richtlinie sowie die Vereinbarkeit des Gesetzes vom 25. Dezember 2016 mit dem Unionsrecht betreffen.

Zunächst stellte der EuGH fest, dass ein schwerwiegender Eingriff der PNR-Richtlinie in Artikel 7 und Artikel 8 der Grundrechtecharta vorliegt. Es entschied jedoch, dass es eine Rechtfertigung für diese Eingriffe bestehe, wenn die PNR-Richtlinie so ausgelegt werde, dass sie das absolut Notwendige noch erlaube.

Die verarbeiteten Fluggastdaten dürfen tatsächlich nur für die Bekämpfung schwerer Straftaten und nicht für die Bekämpfung gewöhnlicher Straftaten eingesetzt werden. Hierfür haben die einzelnen Mitgliedsstaaten Sorge zu tragen. 

Aufgrund der PNR-Richtlinie können Flugunternehmen grundsätzlich die Daten jeglicher Fluggäste verarbeiten. Gemäß dem Urteil des EuGh vom 21.06.2022 C-817/19 Rn. 171 sei für eine rechtskonforme Anwendung der PNR Richtlinie erforderlich "...es hinreichend konkrete Umstände für die Annahme gibt, dass (der Mitgliedsstaat) mit einer als real und aktuell oder vorhersehbar einzustufenden terroristischen Bedrohung konfrontiert ist". Die EU-Grundrechte werden in diesem Fall gewahrt, wenn diese zeitlich begrenzt (gem. PNR-Richtiline) auf Flüge aus oder zu dem betroffenen Staat angewendet werden. 

Problematisch sieht das EuGH, dass die hierfür eingerichtete nationale Behörde die gesammelten Fluggastdaten in einer Vielzahl von Datenbanken überprüfen kann. Bei diesen Datenbanken muss sichergestellt werden, dass

- es sich hierbei nur um Personen handelt, nach welchen gefahndet wird oder welche Gegenstand einer Ausschreibung sind (Rn 190)

- keine Diskriminierung stattfindet

- diese im objektiven Zusammenhang mit der Beförderung von Fluggästen betrieben werden (Rn 191)

Für die nachträgliche Überprüfung von Fluggastdaten sei sicherzustellen, dass ein begründeter Verdacht, an schwerer Kriminalität, vorliegt. Der kriminelle Akt muss desweiteren mittelbaren Zusammenhang mit der Flugreise haben. 

Aktuell dürfen die notwendigen Fluggastdaten maximal 5 Jahre gespeichert und bereits nach 6 Monaten unkenntlich gemacht werden. Das EuGH behandelte die lange Speicherdauer und stellte fest, dass Daten welche über 6 Monate gespeichert sind das absolut Notwendigste überschreiten und auch von Verwendern wieder offenlegbar wären. 

Eure Andrea

von Datenschutz Prinz

Quellen: 

Entscheidung des EuGH

Pressemitteilung des EuGH