Fluggastdatenspeicherung: Zu wenig Schutz für den glä­s­ernen Pas­sa­gier

Am 2. Februar 2011 hat die EU-Kommission einen Vorschlag zu einer neuen Richtlinie vorgelegt. Künftig sollen alle Fluggesellschaften verpflichtet werden, die Daten der Fluggäste, die in die EU einreisen oder aus ihr ausreisen, an den jeweiligen Mitgliedstaat zu übermitteln.

Zu den personenbezogenen Daten gehören 19 verschiedene Angaben, die von den Fluggesellschaften erhoben und dann an eine staatliche Behörde übermittelt werden. Dies sind unter anderem der Name des Passagiers, die Anschrift, die Zahlungsweise, die Form der Buchung, die Kreditkartennummer, die Teilnahme an Bonusprogrammen und Sonderwünsche für das Essen an Bord.

Diese Informationen dürfen dann von dem jeweiligen Mitgliedstaat zum Zweck der Verhütung, Aufdeckung, Aufklärung und strafrechtlichen Verfolgung von schweren oder terroristischen Straftaten ausgewertet und gespeichert werden. Diese strenge Zweckbindung hat die EU-Kommission zur Sicherung der Privatsphäre in den Richtlinienvorschlag aufgenommen.

Kein direkter Zugriff durch die Sicherheitsbehörden mehr möglich

Datenschutzrechtlich von Bedeutung sind neben der generellen Erhebung der personenbezogenen Daten und der Zweckbindung die Regelungen zur Speicherfrist. Die übermittelten Daten sollen nach einem Monat anonymisiert und höchstens fünf Jahre gespeichert werden. Die Fluggesellschaften dürfen keine sensiblen Daten wie Angaben zu politischen Überzeugungen, ethnischer Herkunft oder Religion übermitteln.

Die Verarbeitung und Speicherung der Daten soll bei einer eigens für diesen Zweck eingerichteten neuen Behörde erfolgen. Diese wird der Kontrolle der unabhängigen Datenschutzbehörden unterstellt. Die Richtlinie enthält entsprechend der allgemeinen Datenschutzrichtlinie aus dem Jahr 1995 für die betroffenen Passagiere ein Auskunfts-, Berichtigungs- und Löschungsrecht.

Die Rahmenbedingungen sind damit im Wesentlichen klar. Im Verhältnis zu dem laufenden Verfahren liegt die datenschutzrechtliche Verbesserung des Vorschlags darin, dass die Fluggesellschaften die Daten an die zu schaffende Behörde übermitteln, während im Moment ein direkter Zugriff der Sicherheitsbehörden auf die Daten der Fluggesellschaften möglich ist.

Anlasslose Speicherung stellt Fluggäste unter einen Generalverdacht

Trotz dieser "Verbesserungen" und der explizit enthaltenen "Regelung zum Schutz des Rechts auf informationelle Selbstbestimmung" werden die datenschutzrechtlichen Vorgaben des Bundesverfassungsgerichts (BVerfG) und der EU nicht eingehalten. Die Charta der Grundrechte enthält in Artikel 8 ein Grundrecht auf Datenschutz. Dies bedeutet unter anderem, dass nur diejenigen personenbezogenen Daten erhoben werden sollen, die zu einem bestimmten definierten Zweck erforderlich sind.

Die Fluggastdaten derjenigen, die die EU-Grenzen überqueren, werden aber anlasslos für fünf Jahre gespeichert. Damit stehen im Ergebnis alle Passagiere unter eine Art Generalverdacht; die Datenspeicherung bezieht sich nicht nur auf verdächtige Personen. Das BVerfG hat derartige Grundrechtseingriffe "ins Blaue hinein" schon im Jahr 2005 für unzulässig erklärt (Beschl. v. 22.03.2005, Az. 1 BvQ 2/05, 1 BvR 2357/04). Für Grundrechtseingriffe durch den Staat ist der Grundsatz der Verhältnismäßigkeit zu beachten. Dies setzt bei einem Eingriff in das Recht auf informationelle Selbstbestimmung einen Verdacht gegen den Passagier oder eine von ihm ausgehende Gefahr voraus.

Der Vorschlag der Kommission für die Richtlinie zur Speicherung von Fluggastdaten enthält diese Voraussetzungen für die Datenübermittlung nicht. Es wird lediglich ein Anfangsverdacht für die Nutzung der personenbezogenen Daten durch die staatlichen Behörden gefordert.

Soll dies verhindert werden bzw. noch auf eine datenschutzkonforme Weise erfolgen, müssen die Mitgliedstaaten und das Europäische Parlament gegen den Vorschlag stimmen. Nach Verabschiedung der Richtlinie sind die Mitgliedstaaten verpflichtet, die Regelungen in nationales Recht umzusetzen. Regt sich erst dann Widerstand, besteht für die Mitgliedstaaten keine Möglichkeit, die Schaffung einer entsprechenden Regelung bei ihnen selbst zu verhindern. Sie sind an das sekundäre Unionsrecht gebunden, und eine Weigerung der Umsetzung der Richtlinie würde einen sanktionierbaren Verstoß gegen das Recht der EU bedeuten.

Dr. Carola Drechsler ist Referentin beim Unabhängigen Landeszentrum für Datenschutz und Informationsfreiheit in Schleswig-Holstein.

 

Mehr auf LTO.de:

EU-Datenschutz: Digitaler Radiergummi für soziale Netzwerke

Preisverschleierung: Kein Durchblick mehr bei Flugreisen?

Tourismus in Europa: Gleiches Fahrgastrecht für alle?