Menschenrechtsorganisation rügte belgisches Umsetzungsgesetz
Die PNR-Richtlinie (EU) 2016/681 schreibt zur Bekämpfung von Terrorismus und schwerer Kriminalität die systematische Verarbeitung einer großen Zahl von Fluggastdaten (PNR-Daten, Passager Name Record) bei Flügen zwischen der Union und Drittstaaten (Drittstaatsflüge) bei der Einreise in die Union und der Ausreise aus der Union vor. Darüber hinaus können die Mitgliedstaaten diese Richtlinie nach ihrem Art. 2 auch auf Flüge innerhalb der Union anwenden. Eine belgische Menschenrechtsorganisation, die Liga für Menschenrechte, klagte beim belgischen Verfassungsgerichtshof auf Nichtigkeit des belgischen Umsetzungsgesetzes. Sie rügte die Verletzung des in der EU-Grundrechtecharta verankerten Rechts auf Achtung des Privatlebens und auf Schutz personenbezogener Daten und monierte den sehr großen Umfang der PNR-Daten sowie den allgemeinen Charakter ihrer Erhebung, Übermittlung und Verarbeitung.
EuGH: Befugnisse in PNR-Richtlinie eng auszulegen
Der vom Verfassungsgerichtshof angerufene EuGH hält die PNR-Richtlinie im Ergebnis für gültig. Die in der PNR-Richtlinie vorgesehenen Befugnisse müssten aber eng ausgelegt werden, um die Übermittlung, Verarbeitung und Speicherung von PNR-Daten auf das für die Bekämpfung terroristischer Straftaten und schwerer Kriminalität absolut Notwendige zu beschränken und dadurch die Vereinbarkeit der Richtlinie mit den Artt. 7, 8 der EU-Grundrechtecharta zu gewährleisten. Danach dürfe sich das durch die PNR-Richtlinie eingeführte System (PNR-System) nur auf die in den Rubriken ihres Anhangs I aufgeführten, klar identifizierbaren und umschriebenen Informationen erstrecken, die in Zusammenhang mit dem durchgeführten Flug und dem betreffenden Fluggast stünden. Weiter müsse die Anwendung des PNR-Systems auf terroristische Straftaten und auf schwere Kriminalität mit einem - zumindest mittelbaren - objektiven Zusammenhang mit der Beförderung von Fluggästen beschränkt werden. Sie dürfe sich nicht auf strafbare Handlungen erstrecken, die zwar das in der Richtlinie vorgesehene Kriterium in Bezug auf den Schweregrad erfüllen und in ihrem Anhang II aufgeführt sind, angesichts der Besonderheiten des nationalen Strafrechtssystems aber zur gewöhnlichen Kriminalität gehörten.
Anwendung auf alle EU-Flüge nur bei aktueller terroristischer Bedrohung
Nur im Fall einer als real und aktuell oder vorhersehbar einzustufenden terroristischen Bedrohung dürfe ein Mitgliedstaat die PNR-Richtlinie für einen auf das absolut Notwendige begrenzten, aber verlängerbaren Zeitraum auf alle EU-Flüge aus diesem oder in diesen Mitgliedstaat anwenden. Die Ausdehnung müsse durch ein Gericht oder eine unabhängige Verwaltungsstelle, deren Entscheidung bindend sei, überprüfbar sein. Ohne eine solche terroristische Bedrohung müsse die Anwendung der Richtlinie sich auf EU-Flüge beschränken, die etwa bestimmte Flugverbindungen, bestimmte Reisemuster oder bestimmte Flughäfen beträfen, für die es Anhaltspunkte gebe, die eine Anwendung der Richtlinie rechtfertigen können. Die absolute Notwendigkeit ihrer Anwendung auf die ausgewählten EU-Flüge müsse nach Maßgabe der Entwicklung der Bedingungen, die ihre Auswahl gerechtfertigt hätten, regelmäßig überprüft werden.
Kein Einsatz selbstlernender KI-Systeme bei Vorabüberprüfung
Zur Vorabüberprüfung der PNR-Daten dürfe die PNR-Zentralstelle diese Daten zwar mit Datenbanken betreffend Personen oder Gegenständen abgleichen, nach denen gefahndet werde oder die Gegenstand einer Ausschreibung seien. Diese Datenbanken müssten aber frei von Diskriminierung sein und von den zuständigen Behörden im Zusammenhang mit der Bekämpfung terroristischer Straftaten und schwerer Kriminalität mit einem - zumindest mittelbaren - objektiven Zusammenhang mit der Beförderung von Fluggästen betrieben werden. Zum anderen dürfe die PNR-Zentralstelle bei der Vorabüberprüfung anhand im Voraus festgelegter Kriterien keine Technologien der künstlichen Intelligenz im Rahmen selbstlernender Systeme heranziehen, die ohne menschliche Einwirkung und Kontrolle den Bewertungsprozess und insbesondere die Bewertungskriterien, auf denen das Ergebnis der Anwendung dieses Prozesses beruht, sowie die Gewichtung der Kriterien ändern können. Angesichts der Fehlerquote, die solchen automatisierten Verarbeitungen innewohne, und der erheblichen Zahl "falsch positiver" Ergebnisse, die in den Jahren 2018 und 2019 bei ihrer Anwendung aufgetreten seien, hänge die Eignung des durch die PNR-Richtlinie geschaffenen Systems zur Erreichung der verfolgten Ziele im Wesentlichen vom ordnungsgemäßen Ablauf der Überprüfung der im Rahmen dieser Verarbeitungen erzielten Treffer ab, die von der PNR-Zentralstelle in einem zweiten Schritt mit nicht-automatisierten Mitteln vorgenommen werde.
Regeln für individuelle Überprüfung von Treffern
Insoweit müssten die Mitgliedstaaten klare und präzise Regeln vorsehen, die Leitlinien und einen Rahmen vorgeben, um für die uneingeschränkte Achtung der Art. 7, 8 und 21 der EU-Grundrechtecharta zu sorgen und insbesondere eine dem Diskriminierungsverbot Rechnung tragende kohärente Verwaltungspraxis innerhalb der PNR-Zentralstelle zu gewährleisten. Dabei müssten sich die zuständigen Behörden vergewissern, dass der Betroffene die Funktionsweise Prüfkriterien und der Programme verstehen und deshalb in Kenntnis aller Umstände entscheiden kann, ob er von seinem Recht auf Einlegung von Rechtsbehelfen Gebrauch macht. Nachträglich, also nach der Ankunft oder dem Abflug der betreffenden Person, dürfe eine Zurverfügungstellung und Überprüfung der PNR-Daten nur aufgrund neuer Umstände und objektiver Anhaltspunkte erfolgen. Die Zurverfügungstellung der PNR-Daten zum Zweck einer solchen nachträglichen Überprüfung müsse grundsätzlich - außer in hinreichend begründeten Eilfällen - einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle unterworfen werden.
Zeitliche Grenzen für Speicherung der Daten
Ferner dürfen laut EuGH PNR-Daten, die im Einklang mit dieser Richtlinie erhoben worden sind, nicht zu anderen als den in Art. 1 Abs. 2 der Richtlinie ausdrücklich genannten Zwecken verarbeitet werden. Außerdem dürfe ein Mitgliedstaat keine keine allgemeine, unterschiedslos für alle Fluggäste geltende Speicherfrist für die PNR-Daten von fünf Jahren vorsehen. Während der ursprünglichen sechsmonatigen Speicherfrist sei dies in Ordnung, danach nicht mehr, wenn sie sich auf Fluggäste beziehe, bei denen es keine objektiven Anhaltspunkte gebe, die eine Gefahr im Bereich terroristischer Straftaten oder schwerer Kriminalität mit einem - zumindest mittelbaren - objektiven Zusammenhang mit ihrer Flugreise belegen könnten. Überdies stehe das Unionsrecht nationalen Rechtsvorschriften entgegen, die zum Zweck der Verbesserung der Grenzkontrollen und der Bekämpfung illegaler Einwanderung ein solches System der Übermittlung und Verarbeitung der genannten Daten vorsehen.
