ESDA fordert Umsetzung der PNR-Richtlinie

PNR-Richtlinie

Der Europäische Datenschutzausschuss (EDSA) hat die EU-Mitgliedstaaten aufgefordert, das PNR-Urteil des Europäischen Gerichtshofes (EuGH) unverzüglich umzusetzen.

Die Verarbeitung von sog. PNR-Daten zu Sicherheitszwecken kombiniert zwei grundsätzliche Probleme im Bereich des Datenschutzes im Sicherheitsbereich:

PNR-Daten werden so genutzt, dass sämtliche Flugreisende mit abstrakt formulierten Gefährderprofilen („Mustern“) abgeglichen werden. Denn PNR-Daten sind nicht erforderlich, um bekannte Gefährder oder Straftäter bei der Grenzkontrolle zu fassen. Sie dienen dem Generieren von Verdächtigen, also dem Aufspüren von Reisenden, die eine Gefahr darstellen könnten und den Sicherheitsbehörden noch nicht bekannt sind. Gleichzeitig schafft die PNR-Richtlinie eine weitere Vorratsspeicherung von Daten, weil die Sicherheitsbehörden PNR-Daten verdachtslos über Jahre speichern.

Am 21. Juni 2022 fällte der EuGH auf Vorlage des belgischen Verfassungsgerichts sein Urteil über die PNR-Richtlinie. Der Gerichtshof stellte zwar fest, dass die Gültigkeit der PNR-Richtlinie nicht beeinträchtigt ist, entschied aber, dass die PNR-Richtlinie so ausgelegt werden muss, dass sie wichtige Beschränkungen für die Verarbeitung personenbezogener Daten enthält, um die Einhaltung der EU-Grundrechtecharta (die Charta) zu gewährleisten. Einige dieser Einschränkungen sind die Anwendung des PNR-Systems nur auf terroristische Straftaten und schwere Kriminalität, die in einem objektiven Zusammenhang mit der Beförderung von Fluggästen stehen, und die nichtdiskriminierende Anwendung der allgemeinen Aufbewahrungsfrist von fünf Jahren auf alle personenbezogenen Daten von Fluggästen.

Die vom EuGH vertretene Auslegung schränkt die Möglichkeiten der EU-Mitgliedstaaten zur Verarbeitung von Fluggastdaten erheblich ein. Der EDSB hält es für wahrscheinlich, dass die derzeitige Verarbeitung von PNR-Daten in vielen, wenn nicht sogar den meisten Mitgliedstaaten nicht vollständig mit der PNR-Richtlinie in der Auslegung des EuGH übereinstimmt. PNR-Systeme in der gesamten EU können daher weiterhin tagtäglich in unverhältnismäßiger Weise in die Grundrechte der Betroffenen eingreifen.

In seiner Erklärung fordert der EDSB die EU-Mitgliedstaaten auf, alle notwendigen Schritte auf legislativer und/oder administrativer Ebene zu unternehmen, um sicherzustellen, dass ihre jeweilige nationale Umsetzung und Durchführung der PNR-Richtlinie im Einklang mit der Charta in der Auslegung des EuGH steht. In diesem Zusammenhang weist der EDSB darauf hin, dass die Datenschutzbehörden uneingeschränkt befugt sind, die Einhaltung der EU-Datenschutzanforderungen auf nationaler Ebene zu prüfen.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) stimmt in diese Forderung ein und weist darauf hin, dass seit dem Urteil des EuGH auch in Deutschland wie auch in vielen Mitgliedstaaten nichts geändert wurde.

(Foto: metamorworks – stock.adobe.com)

Letztes Update:08.01.23

  • Archivieren oder Löschen

    Löschen oder Archivieren: BayLfD bietet Arbeitspapier

    Ein effektives Datenschutzmanagement erfordert vom Verantwortlichensich nicht nur Gedanken um die Zulässigkeit der Datenerhebung zu mache. Der datenschurzkonforme Umgang muss sich auf den gesamten Lebenszyklus von personenbezogenen Daten erstrecken und damit auch den Vorgang des Löschens. Generell sind personenbezogene Daten zu löschen, wenn ihre Speicherung unzulässig ist oder ihre Kenntnis für die speichernde Stelle „zur Erfüllung ihrer

    Mehr erfahren
  • Auskunft erstreckt sich auf Identität derEmpfänger

    EuGH konkretisiert Auskunftsrecht: Identität der Empfänger sind offenzulegen

    Mit dem Auskunftsrecht gem. Art. 15 DS-GVO hat der Verordnungegeber eine Grundlage dafür geschaffen, dass andere Betroffenenrechte (wie das Recht auf Berichtigung, Löschung, Einschränkung der Verarbeitung, aber auch das Widerspruchsrecht) überhaupt gezielt geltend gemacht werden können. Die praktische Wirksamkeit dieser „nachgelagerten“ Betroffenenrechte hängen oftmals davon ab, wie weit das Recht auf Auskunft verstanden wird. Möchte

    Mehr erfahren
  • Protokollierung von Cyber-Angriffen

    Mindeststandard zur Protokollierung und Detektion von Cyber-Angriffen

    Immer häufiger werden Cyber-Angriffe auf Unternehmen und Regierungen bekannt, die folgenschwere Konsequenzen für die Betroffenen auslösen. Die meisten IT-Systeme in Organisationen verfügen über Möglichkeiten, um ein Audit-Logging zu aktivieren. Bereits mit den Standardeinstellungen werden dabei in der Regel alle wichtigen Ereignisse aufgezeichnet. Damit dabei aber keine gigantischen Datenmengen entstehen, die nur mit hohem Aufwand zu verarbeiten

    Mehr erfahren