EU-Fluggastdatensätze: EDSB warnt vor ungerechtfertigter Erhebung großer Mengen von Fluggastdaten
Anlässlich der gestrigen Veröffentlichung seiner zweiten Stellungnahme über die Verwendung von Fluggastdatensätzen zu Zwecken der Verhütung, Aufdeckung, Aufklärung und strafrechtlichen Verfolgung von terroristischen Straftaten und schwerer Kriminalität wies der EDSB darauf hin, dass die zur Verfügung stehenden Informationen nicht ausreichen, um die Notwendigkeit eines EU-Systems für Fluggastdatensätze (PNR) zu rechtfertigen.
Giovanni Buttarelli, der Europäische Datenschutzbeauftragte (EDSB), erklärte dazu: „Europa sieht sich ernsten terroristischen Bedrohungen gegenüber, und wir sind uns der Notwendigkeit geeigneter Maßnahmen voll bewusst. Als unabhängige Behörde sind wir nicht a priori für oder gegen eine Maßnahme. Die verfügbaren Informationen beinhalten jedoch keine hinreichenden Belege für die Notwendigkeit einer standardmäßigen Erhebung großer Mengen personenbezogener Daten von Millionen Reisenden. Notwendigkeit und Verhältnismäßigkeit sind Grundvoraussetzungen für die Rechtmäßigkeit jeder tiefgreifenden Maßnahme. Wir fordern die Gesetzgeber dazu auf, bei der Analyse der Notwendigkeit einer solchen Maßnahme die Wirksamkeit neuer Untersuchungsverfahren sowie von Überwachungsmaßnahmen mit selektiverem und weniger einschneidendem Charakter auf Grundlage gezielter Kategorien von Flügen, Fluggästen oder Ländern eingehender zu prüfen.“
In seiner neuen Stellungnahme unterstreicht der EDSB die Rolle der Gesetzgeber bei der Bewertung der Notwendigkeit und Verhältnismäßigkeit sowie der Analyse der Auswirkungen der vorgeschlagenen Maßnahmen auf die Grundrechte von Personen auf den Schutz personenbezogener Daten und die Privatsphäre. Im Zusammenhang mit seiner Aufgabe, die EU-Organe hinsichtlich der Folgen ihrer Rechtsetzungsvorschläge für den Datenschutz zu beraten, insbesondere wenn diese schwerwiegende Auswirkungen auf die Rechte auf Privatsphäre und Datenschutz haben, muss auch der EDSB eine solche Analyse vornehmen.
Da das vorgeschlagene EU-PNR-System wahrscheinlich für mindestens alle Flüge mit Start- und Zielflughäfen in der EU und möglicherweise sogar Flüge innerhalb der EU und/oder Inlandsflüge gelten soll, wären von dem Vorschlag potenziell mehr als 300 Millionen unverdächtige Fluggäste betroffen.
Ausgehend von seinen früheren Stellungnahmen zum Thema PNR vertritt der EDSB weiterhin die Auffassung, dass die verfügbaren Informationen nicht rechtfertigen, warum die massive, nicht zielgerichtete und willkürliche Erhebung personenbezogener Daten von Fluggästen notwendig ist und warum diese so dringend benötigt wird.
Der EDSB verweist besonders auf das Urteil des Europäischen Gerichtshofs (EuGH) vom 8. April 2014, mit dem der EuGH die Richtlinie über die Vorratsspeicherung von Daten aufgrund der darin vorgesehenen allgemeinen und willkürlichen Erhebung personenbezogener Daten für ungültig erklärte: „der Unionsgesetzgeber [hat] [...] die Grenzen überschritten [...], die er zur Wahrung des Grundsatzes der Verhältnismäßigkeit im Hinblick auf die Art. 7, 8 und 52 Abs. 1 der Charta einhalten musste“.
Der EDSB weist darauf hin, dass der EU-Gesetzgeber dafür sorgen muss, dass er die strikten Vorgaben des Gerichtshofes uneingeschränkt erfüllt, da der Gerichtshof unter Zugrundelegung der Charta jeglichen Maßnahmen, die – wie die Richtlinie über die Vorratsspeicherung von Daten – „für Personen [gelten würden], bei denen keinerlei Anhaltspunkt dafür besteht, dass ihr Verhalten in einem auch nur mittelbaren oder entfernten Zusammenhang mit schweren Straftaten stehen könnte“, äußerst skeptisch gegenübersteht.
Infolge der jüngsten Vorkommnisse mit terroristischem Hintergrund sind die Regierungen in Europa dem Druck ausgesetzt, sinnvolle Maßnahmen zu ergreifen. Der EDSB stellt jedoch die Notwendigkeit in Frage, in einer demokratischen Gesellschaft große Mengen personenbezogener Daten von allen Fluggästen in der EU zu erheben und zu speichern. Hier ist der Gesetzgeber gefordert, näher zu ergründen, ob der gezielte Einsatz von Ressourcen und Bemühungen zur Überprüfung bekannter verdächtiger Personen wirksamer sein könnte als die Erstellung von Profilen aller Reisenden.
Hintergrundinformationen
Privatsphäre und Datenschutz sind Grundrechte in der EU. Datenschutz ist ein Grundrecht, das durch europäisches Recht geschützt und in Artikel 8 der Charta der Grundrechte der Europäischen Union verankert ist.
Konkret sind die Datenschutzbestimmungen für die EU-Organe – sowie die Pflichten des Europäischen Datenschutzbeauftragten (EDSB) – in der Verordnung (EG) Nr. 45/2001 geregelt. Der Europäische Datenschutzbeauftragte (EDSB) ist eine relativ neue, aber zunehmend einflussreiche unabhängige Aufsichtsbehörde, die die Verarbeitung personenbezogener Daten durch die Einrichtungen und Organe der EU überwacht, in Bezug auf politische Maßnahmen und Rechtsvorschriften, die sich auf die Privatsphäre auswirken, beratend tätig ist und mit vergleichbaren Behörden zusammenarbeitet, um einen einheitlichen Datenschutz sicherzustellen.
Giovanni Buttarelli (EDSB) und Wojciech Wiewiórowski (Stellvertretender EDSB) sind Mitglieder dieser Behörde und wurden durch eine gemeinsame Entscheidung des Europäischen Parlaments und des Rates ernannt. Sie traten ihre fünfjährige Amtszeit am 4. Dezember 2014 an.
Strategie des EDSB für den Zeitraum 2015-2019: In dem am 2. März 2015 vorgelegten Plan für den Zeitraum 2015-2019 werden die wichtigsten Herausforderungen im Bereich Datenschutz und Schutz der Privatsphäre für die kommenden Jahre sowie die drei strategischen Ziele und die zehn Begleitmaßnahmen des EDSB, um diesen Herausforderungen zu begegnen, zusammengefasst. Die Ziele lauten: 1.) Datenschutz wird digital 2.) Aufbau globaler Partnerschaften und 3.) Ein neues Kapitel für den Datenschutz in der EU.
Personenbezogene Daten bzw. Informationen: alle Informationen, die sich auf eine bestimmte oder bestimmbare (lebende) natürliche Person beziehen. Beispiele hierfür sind u. a. Namen, Geburtsdaten, Fotos, Videoaufnahmen, E-Mail-Adressen und Telefonnummern. Weitere Angaben wie z. B. IP-Adressen und Inhalte von Mitteilungen, die sich auf Endnutzer von Kommunikationsdiensten beziehen oder von ihnen zur Verfügung gestellt werden, gelten ebenfalls als personenbezogene Daten.
Privatsphäre: das Recht einer natürlichen Person, alleine gelassen zu werden und die Kontrolle über die Informationen über sich selbst auszuüben. Das Recht auf Privatsphäre und auf ein Privatleben ist in der Allgemeinen Erklärung der Menschenrechte (Artikel 12), der Europäischen Menschenrechtskonvention (Artikel 8) und der Europäischen Charta der Grundrechte (Artikel 7) verankert. Die Charta umfasst auch ein ausdrückliches Recht auf Schutz personenbezogener Daten (Artikel 8).
Verarbeitung personenbezogener Daten: Im Sinne von Artikel 2 Buchstabe b der Verordnung (EG) Nr. 45/2001 bezeichnet der Ausdruck „Verarbeitung personenbezogener Daten“ „jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Wiederauffinden, das Abfragen, die Nutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten.“ Siehe hierzu auch das Glossar auf der EDSB-Website.
Notwendigkeit und Verhältnismäßigkeit: Siehe die Stellungnahme 01/2014 der Artikel-29-Datenschutzgruppe zur Anwendung der Begriffe der Notwendigkeit und der Verhältnismäßigkeit sowie des Datenschutzes im Bereich der Strafverfolgung.
Zweckbindung: Personenbezogene Daten dürfen nur für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden. Nach der Erhebung dürfen sie nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Dieser Grundsatz dient dem Schutz von Einzelpersonen, indem die Verwendung ihrer Daten auf vorab festgelegte Zwecke beschränkt wird, mit Ausnahme der Verwendung gemäß strenger Voraussetzungen und geeigneter Garantien.