Obwohl die Vorratsdatenspeicherung von Fluggastdaten (kurz: PNR, Passenger Name Records) höchstwahrscheinlich grundrechtswidrig ist, reicht der Umsetzungsvorschlag der österreichischen Bundesregierung weit über das hinaus, was die umstrittene PNR-Richtlinie der EU fordert. 

Update Juni 2018: Am 13. Juni wurde die Vorratsdatenspeicherung von Fluggastdaten im Ministerrat beschlossen. Nach wie vor wird die grundrechtswidrige EU-Richtlinie übererfüllt. Innereuropäische Flüge können weiterhin überwacht werden. Siehe >>hier. 

Die Fluggastdatenspeicherung stellt eine anlasslose verdachtsunabhängige Massenüberwachung dar. Der Europäische Gerichtshof (EuGH) hat schon drei Mal entschieden, dass Vorratsdatenspeicherung nicht mit unseren Grundrechten vereinbar ist. Zwei Mal hat er die Speicherung von Kommunikationsdaten auf Vorrat für grundrechtswidrig erklärt (2014 und 2016) und 2017 hat er festgestellt, dass ein Abkommen zum Austausch von Fluggastdaten zwischen der EU und Kanada dem Recht auf Achtung des Privat- und Familienlebens und dem Schutz personenbezogener Daten widerspricht. Im Lichte dessen ist auch die PNR-Richtlinie der EU höchstwahrscheinlich unionsrechtswidrig. 

Österreichs Regierung übereifrig bei Überwachungsgesetzen

Die Grundrechtsorganisation epicenter.works hat den Vorschlag des Innenministeriums zum PNR-Gesetz analysiert.

„Es ist bezeichnend, dass die Regierung bei der Umsetzung der EU-Datenschutzregeln Standards unterschreiten will und bei Überwachung übereifrig ist“,

so Thomas Lohninger von epicenter.works.

Die Details sind in unserer Stellungnahme zu finden bzw. auf der Seite des österreichischen Parlaments.

epicenter.works fordert: Umsetzung einer Minimalvariante bei maximalem Datenschutz

„Wir fordern die Regierung auf, diese unions- und grundrechtswidrige Richtlinie nur so eingeschränkt wie möglich umzusetzen. Vor allem die Anwendbarkeit der Vorratsdatenspeicherung auf innereuropäische Flüge muss gestrichen werden“,

sagt Angelika Adensamer, Juristin von epicenter.works. Es sollte eine Selbstverständlichkeit sein, höchste Datenschutz- und Rechtsschutzstandards für die Speicherung von Fluggastdaten anzuwenden. Die wichtigsten Punkte sind die Einrichtung einer nationalen Kontrollstelle (gem. Art. 15 PNR-RL) strenge Regelungen für Protokollierung, hohe Standards für Datensicherheit und Rechtsschutz.

Keine diskriminierenden Algorithmen

Da die personenbezogenen Daten automatisiert verarbeitet werden, sind auch Maßnahmen vorzusehen, damit dies nicht zur Diskriminierung führt. Einerseits ist dies ein wirksamer Rechtsschutz für betroffene Personen und andererseits müssen die Algorithmen selbst so weit transparent gemacht werden, dass eine unabhängige Überprüfung möglich ist. 

Was besagt die PNR-Richtline?

Eine lange Reihe an personenbezogenen Daten über Flugreisen sollen ab 25. Mai 2018 bei einer neuen „Fluggastdatenzentralstelle“ beim Bundeskriminalamt für fünf Jahre gespeichert werden. Alle Flugunternehmen, die Personen aus oder nach Österreich bringen, werden verpflichtet, alle diese Daten an die Fluggastdatenzentralstelle weiterzuleiten. 

Diese neue Vorratsdatenspeicherung soll dem Zweck dienen, eine Reihe bestimmter Verbrechen aufzuklären, angefangen bei Terrorismus, Menschenhandel und Kinderpornographie bis hin zu illegalem Handel mit Kulturgütern, Urkundenfälschung und Produktpiraterie. 

Dort werden sie einerseits mit Daten aus Fahndungsevidenzen und anderen Polizeidatenbanken abgeglichen, andererseits aber auch anhand „festgelegter Kriterien“ verarbeitet. Hier beginnt das Profiling. Die Fluggastdatenzentralstelle muss „verdachtsbegründende und verdachtsentlastende“ Kriterien festlegen, die geeignet sind „Personen zu identifizieren, die [zur Verfolgung bestimmter Delikte (s.o.)] bedeutsame Prüfungsmerkmale erfüllen“ (§ 5 Abs. 2 PNR-G). Diese Kriterien dürfen keine besonderen Kategorien von Daten (§ 39 DSG, früher hießen diese Kategorien „sensible Daten“) enthalten. Das sind z.B. Informationen über die „ethnische Herkunft“, politische Meinungen, religiöse Überzeugungen, genetische und biometrische Daten, Gesundheitsdaten, Daten zum Sexualleben, etc. Diese verdachtsbegründenden und -entlastenden Kriterien müssen alle sechs Monate überprüft werden. Um sie zu entwickeln, soll „auf die Expertise, insbesondere die kriminalistische Erfahrung, von Sicherheitsbehörden, Staatsanwaltschaften, Gerichten und Zollbehörden bzw. deren Zentralstellen“ zurückgegriffen werden (Erläuterungen, S. 4) Außerdem sind die Kriterien so auszuwählen, dass die Zahl der darunter fallenden Personen möglichst gering ist (Erl. S. 4). Die Fluggastdatenbank kann jedoch auch selbst dazu genutzt werden, neue Kriterien zu finden, und alte zu verifizieren bzw. zu aktualisieren.

In den Erläuterungen heißt es:

„Bei der Festlegung der Kriterien kann die kriminalistische Erfahrung objektiviert und auf eine breitere Basis von Erkenntnissen gestellt werden. So können zum Beispiel Fälle von Drogenkurieren herangezogen werden und mit Blick auf deren Reiserouten, Zwischenlandungen und Dauer des dortigen Aufenthaltes analysiert und daraus spezifische Kriterien erstellt werden. Gleichzeitig fließen Gegenplausibilitäten in die Kriterien ein, die den Kreis derjenigen Personen, die ein verdachtsbegründendes Kriterium erfüllen, wieder reduzieren.“ (Erl., S. 4)

Jeder Treffer, der sich aus der Anwendung dieser Kriterien ergibt, muss individuell auf eine nicht-automatisierte Weise überprüft werden. Dazu dürfen andere Datenbanken aus der Sicherheitsverwaltung, dem Asyl- und Fremdenwesen sowie der Strafrechtspflege herangezogen werden. Die so verifizierten Treffer und allfällig gesetzte Maßnahmen werden in einer eigenen Trefferverwaltung gespeichert. Auch diese Daten werden fünf Jahre aufbewahrt.

Nach sechs Monaten werden die Daten depersonalisiert, danach darf die Depersonalisierung nur aus bestimmten Gründen aufgehoben werden. In manchen Fällen muss dies vom Rechtsschutzbeauftragten genehmigt werden, in anderen auf Anordnung der Staatsanwaltschaft vom Gericht bewilligt werden.

Alle Verarbeitungsvorgänge nach diesem Gesetz unterliegen der Kontrolle des Datenschutzbeauftragen beim Bundesminister für Inneres. Alle Zugriffe auf die Datenbanken müssen protokolliert werden, die Protokollaufzeichnungen werden fünf Jahre gespeichert. Leitet ein Flugunternehmen diese Daten nicht an die Fluggastdatenzentralstelle weiter, können Verwaltungsstrafen von 5.000 bis 15.000 Euro, im Wiederholungsfall bis zu 30.000 Euro über die Verantwortlichen verhängt werden.