[datensicherheit.de, 26.07.2017] Laut einer Mitteilung des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) hat der Europäische Gerichtshof (EuGH) mit seinem heutigen Gutachten vom 26. Juli 2017 „die Linie seiner datenschutzfreundlichen Urteile“ fortgesetzt: Das geplante Fluggastdaten-Abkommen zwischen Kanada und der EU verstößt demnach in weiten Teilen gegen die Grundrechte des Datenschutzes, der Achtung des Privatlebens und der Familie sowie der Nichtdiskriminierung.

Ausrichtung auf das absolut Notwendige gefordert

Grundsätzlich werde zwar die „Zulässigkeit der Verarbeitung sämtlicher Fluggastdaten zum Zweck der Gewährleistung der Öffentlichen Sicherheit im Rahmen der Bekämpfung der grenzüberschreitenden schweren Kriminalität und terroristischer Straftaten“ durch den EuGH anerkannt. Er fordere jedoch in einem dreistufigen Modell eine enge Ausrichtung auf das absolut Notwendige.
Insbesondere habe er moniert, dass auf der Stufe der Übermittlung von sensiblen Passagierdaten an Kanada die hohen Hürden der Bestimmtheit sowie der Erforderlichkeit eingehalten werden müssten. Dies beziehe sich insbesondere auf sensible Daten, etwa über die rassische oder ethnische Herkunft, religiöse Überzeugungen oder das Sexualleben einer Person. Angesichts des hohen Stellenwerts des Grundrechts der Nichtdiskriminierung und der Gefahr der Stigmatisierung durch eine missbräuchliche Verarbeitung dieser Daten reiche die Gewährleistung der Öffentlichen Sicherheit im Rahmen der Bekämpfung der grenzüberschreitenden schweren Kriminalität und terroristischer Straftaten als Rechtfertigungsgrund nicht aus.

Klare Regeln für Weiterverwendung der PNR-Daten!

Auf der nächsten Stufe knüpft der EuGH laut HmbBfDI eine Weiterverwendung der PNR-Daten (Passenger Name Record) nach Einreise des Passagiers in das kanadische Hoheitsgebiet an klare rechtsstaatliche Voraussetzungen. So müssten neue sachliche Umstände vorliegen und es bedürfe grundsätzlich einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle.
In diesem Zusammenhang bezieht dich der EuGH offensichtlich auf seine Rechtsprechung im „Safe Harbor“-Urteil, wonach im Empfängerland ein angemessenes Datenschutzniveau zur Absicherung der Datenschutzrechte bestehen müsse.
Die dritte Stufe betrifft die Speicherung der Daten nach Ausreise des Fluggastes. Hierzu fordert der EuGH die Begrenzung der Speicherdauer – die bisher vorgesehene fünfjährige Speicherfrist der PNR-Daten sehe er als unzulässig an, wenn nach Ausreise des Passagiers keine objektiven Anhaltspunkte dafür bestehen, dass von ihm eine besondere Gefahr des Terrorismus oder der
grenzüberschreitenden schweren Kriminalität ausgeht.

Grundsatz der Verhältnismäßigkeit betont

Im Übrigen mache der EuGH insbesondere Vorgaben für eine Weitergabe der PNR-Daten durch Kanada an ein Nicht-EU-Land, für die Begrenzung der Verwendung von Datenbanken, für die individuelle Information der Fluggäste über die verwendeten PNR-Daten und über die Kontrolle der Einhaltung und Regeln durch eine unabhängige Kontrollstelle.
„Mit seinem heutigen Gutachten zieht der EuGH eine klare rechtsstaatliche Rote Linie für mögliche Maßnahmen zur Bekämpfung von Terrorismus und grenzüberschreitender schwerer Kriminalität. Gerade dort, wo anlasslos die Daten von Bürgern gespeichert und verarbeitet werden, gilt es, dem Bestimmtheitsgebot besonders Rechnung zu tragen und den Grundsatz der Verhältnismäßigkeit zum Schutz der informationellen Selbstbestimmung als zentralen Maßstab anzulegen“, betont Johannes Caspar, HmbBfDI. Es bleibe zu hoffen, so Caspar, dass die ständige Rechtsprechung des EuGH Anstoß zu einem „abgewogeneren Ausgleich zwischen Kontrollmaßnahmen des Staates und dem Schutz von digitalen Grundrechten insbesondere im Licht des Schutzes vor Diskriminierungen“ gebe. Erlassene Maßnahmen nicht nur von EU-Organen, sondern auch des nationalen Gesetzgebers zum Schutz der Inneren Sicherheit müssten die Grundrechte beachten. Dies gelte auch in Zeiten vermehrter terroristischer Aktivitäten.

Weitere Informationen zum Thema:

datensicherheit.de, 23.06.2017
Kritik an Diskrepanz zwischen digitalen Grundrechten und staatlicher Sicherheitspolitik

[datensicherheit.de, 16.12.2011] Laut dem Bundesdatenschutzbeauftragten sei es eigentlich keine überraschende Nachricht, dass die in Brüssel versammelten Innen- und Justizminister am 13. Dezember 2011 den Entwurf für ein neues Abkommen mit den USA gebilligt hätten:
In diesem ist die Fortsetzung der Übermittlung von Daten über Flugpassagiere an die Vereinigten Staaten vorgesehen. Damit soll nun auf geänderter rechtlicher Basis eine Praxis fortgesetzt werden, die kurz nach den Terroranschlägen des 11. September 2001 von den US-Behörden gegenüber den Fluggesellschaften durchgesetzt worden war. Damit werden Daten, die von den Fluggesellschaften und Buchungssystemen für die Durchführung einer Reise erhoben worden sind, weiterhin an US-Behörden übermittelt und von diesen viele Jahre gespeichert.
Erfreulich sei es, dass die Bundesregierung dem vorgeschlagenen Abkommenstext nicht zugestimmt habe, wobei allerdings die Frage im Raum bleibe, warum sie sich angesichts der von Bundesinnenminister Friedrich und Bundesjustizministerin Leutheusser-Schnarrenberger geäußerten schwerwiegenden verfassungsrechtlichen Bedenken nur enthalten und nicht dagegen gestimmt habe, so Peter Schaar.
Die deutsche und auch die österreichische Enthaltung ändere jedoch nichts daran, dass das Abkommen die erforderliche Mehrheit im Rat bekommen habe. Nach dem Inkrafttreten des Lissabon-Vertrags bedürfe ein solches Abkommen allerdings noch der Zustimmung durch das Europäische Parlament (EP). Das EP habe sich bereits am 5. Mai 2010 mit dem Entwurf eines neuen Abkommens beschäftigt, seine Entscheidung aber wegen erheblicher datenschutzrechtlicher Bedenken vertagt. Es habe in seiner Entschließung konkrete Anforderungen an ein neues Abkommen formuliert – Fluggastdatensätze dürften danach nur für Strafverfolgungs- und Sicherheitszwecke in Fällen von schwerwiegender organisierter und grenzübergreifender Kriminalität oder grenzüberschreitendem Terrorismus verwendet werden.
Schaar weist darauf hin, dass weitaus mehr PNR-Angaben (Passenger-Name-Record) übermittelt werden, als die US-Behörden direkt bei der Einreise von den Reisenden erheben. Übermittelt würden auch Zahlungsdetails und Kontaktinformationen, also auch Telefonnummern, E-Mail- und Zieladressen in den USA. Schließlich enthalte der PNR-Datensatz auch sensible Daten, etwa besondere Essenswünsche (z. B. koscheres Essen) und Hinweise auf Behinderungen (z.B. Rollstuhlbenutzung), die nach dem europäischen Datenschutzrecht besonderen Schutzes bedürften.
Unverändert sei auch die aus Schaars Sicht überzogene Speicherfrist sämtlicher Daten von 15 Jahren. Auch wenn es positiv sei, dass auf die Daten im Regelfall nach einiger Zeit nur noch „maskiert“ (ohne Nennung des Namens des jeweiligen Passagiers) zugegriffen werden solle, ändere dies nichts daran, dass sämtliche Daten für 15 Jahre vollständig gespeichert blieben und – bei entsprechender Notwendigkeit – personenbezogen verwendet werden dürften. Möglicherweise würden die Daten sogar noch für einen längeren Zeitraum als 15 Jahre vorgehalten, wenn auch in „anonymisierter“ Form, denn der Abkommensentwurf sehe selbst dann nicht die Datenlöschung, sondern nur deren Anonymisierung vor – in welcher Weise und wie wirksam diese Anonymisierung stattfindet, sei in dem Abkommen nicht festgelegt.
Jedes legitime Abkommen zur massiven Übermittlung von personenbezogenen Daten von Passagieren an Drittländer müsse strenge Bedingungen erfüllen, mahnt der Europäische Datenschutzbeauftragte Peter Hustinx. Leider blieben viele der Bedenken unbeachtet. Schaar teilt Hustinx‘ Bewertung, zugleich hoffend, dass das EP seiner Linie treu bleibt und den ausgehandelten Entwurf nicht kritiklos durchwinkt, sondern kritisch hinterfragt.

Weitere Informationen zum Thema:

Datenschutz FORUM, 14.12.2011
Peter Schaar / Passagierdaten-Abkommen: EU-Parlament, bitte übernehmen!

Foto: BfDI

Beratung und Schlußabstimmung im Bundestag

[datensicherheit.de, 03.07.2009] Das Abkommen vom 01.10.2008 zwischen der Regierung der Bundesrepublik Deutschland und der Regierung der Vereinigten Staaten von Amerika über die Vertiefung der Zusammenarbeit bei der Verhinderung und Bekämpfung schwerwiegender Kriminalität steht heute für 18.00 Uhr auf der Agenda der 231. Sitzung des Deutschen Bundestages.

Hierzu erklärt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Peter Schaar:

Mit dem Abkommen wird zwischen Deutschland und den Vereinigten Staaten von Amerika ein weit reichender Informationsaustausch vereinbart, unter anderem ein gegenseitiger Online-Zugriff auf die Fingerabdruckdateien und die DNA-Dateien. Die Datenschutzvorkehrungen bleiben dabei weit unter dem Niveau, das für den Datenaustausch mit anderen Staaten gilt, etwa bei der Kooperation von Polizei- und Strafverfolgungsbehörden innerhalb Europas nach dem Prümer Vertrag. Mit dem heute vom Deutschen Bundestag beratenen Umsetzungsgesetz hätte immerhin noch die Möglichkeit bestanden, in den Abkommensregelungen verbliebene Interpretationsspielräume im Sinne eines verbesserten Datenschutzes zu konkretisieren. Diese Chance ist aber weitgehend verpasst worden.

Zwar mahnt der Deutsche Bundestag in einer zusätzlichen Entschließung an, die nach Maßgabe des Abkommens vorgesehene Übermittlung sensibler personenbezogener Daten, aus denen zum Beispiel die Rasse oder ethnische Herkunft, politische Anschauungen, religiöse Überzeugungen sowie Gewerkschaftszugehörigkeit hervorgeht oder die die Gesundheit oder das Sexualleben betreffen, restriktiv zu handhaben. Entsprechende Einschränkungen hätten aber im Umsetzungsgesetz verbindlich geregelt werden können. Es fehlen zudem Konkretisierungen, welche Straftaten nach nationalem Recht als schwerwiegende beziehungsweise terroristische Straftaten gelten und damit eine klare Bestimmung des Anwendungsbereiches des Abkommens. Offen bleibt, ob unter den Fingerabdrücken, auf die den US-Behörden der Zugriff eingeräumt wird, auch die Fingerabdrücke von Asylbewerbern und Ausländern gefasst werden. Schließlich wäre eine klarstellende Verpflichtung im Umsetzungsgesetz zur Mitteilung der im Inland geltenden Löschungsfristen im Falle einer Datenübermittlung geboten gewesen.

Die zusätzlichen Regelungen im Umsetzungsgesetz wären umso dringender, als in den USA ein angemessenes Datenschutzniveau nach europäischen Maßstäben mit Auskunftsrechten der von einer staatlichen Datenverarbeitung Betroffenen und einer unabhängigen Datenschutzkontrolle nicht besteht.

]]> https://www.datensicherheit.de/schaar-kritik-am-abkommen-zum-datenaustausch-mit-den-usa/feed 0