EuGH-Urteil begrenzt Speicherung und Auswertung von Fluggast- und Reisedaten

Jetzt ist es amtlich: Fluggastdaten dürfen in der EU nur noch begrenzt ausgewertet werden, die Dauer der Speicherung wird drastisch reduziert und künstliche Intelligenz darf nur in begründeten Verdachtsfällen zum Einsatz kommen.

Die VDI nachrichten berichteten bereits über umfangreiche Datenerhebungen bei Reisenden in verschiedenen Ländern: Visumanträge sowie Flug- und Hotelbuchungen hinterlassen Datenspuren, die teilweise noch Jahrzehnte gespeichert werden. Auch staatliche Behörden könnten Hotels und Fluggesellschaften zur Datenübermittlung verpflichten.

Vorsicht – auch Daten gehen im Urlaub auf Reise

Der Europäische Gerichtshof (EuGH) hat die Datenerhebungen und deren Auswertungen nun in enge Grenzen verwiesen – zumindest in der EU. Konkret geht es um die sogenannte PNR-Richtlinie (Passager Name Record). In der bisherigen Version der PNR-Richtlinie konnten Fluggastdaten bzw. Reisedaten bei der Überschreitung von EU-Außengrenzen in großer Zahl systematisch verarbeitet werden. So sollten terroristische Straftaten und andere schwere Kriminalität aufgedeckt bzw. verhindert werden.

Der EuGH beschränkt die Datenerhebungen nun für den Kampf gegen den Terror auf das absolut Notwendige. So dürfen nach dem EuGH-Urteil vom gestrigen Dienstag etwa die Polizei oder die Geheimdienste Reisen innerhalb Europas nur noch dann umfangreich auswerten, wenn es Hinweise auf eine reale terroristische Bedrohung gibt. Oder bei konkreten Anhaltspunkten, dass auf bestimmten Flügen oder Flughäfen etwas Schwerwiegendes passieren könnte.

Künstliche Intelligenz nur unter Auflagen einsetzbar

Ebenso gibt es Einschränkungen bei der Durchsuchung der riesigen Datenmengen nach möglichen, noch unbekannten Straftätern. Bisher widmete sich künstliche Intelligenz (KI) Fragen wie: Wer hat sich auffällig verhalten? Wer hat einen Langstreckenflug mit wenig Gepäck angetreten? Wer hat seinen Flug bar bezahlt? Das Gericht machte zwar klar, dass der Einsatz dieser Software grundsätzlich noch möglich sei, es müsse allerdings vorher klar festgelegt werden, nach welchen Merkmale der Algorithmus sucht. Denn es dürfe nach Angaben des EuGH nicht sein, dass selbstlernende KI das Ruder übernimmt und unter Umständen immer neue menschliche Eigenschaften bestimmt, die als verdächtig gelten.

Reisedatenspeicherung nur sechs Monate statt fünf Jahre

Das EuGH beschränkt mit dem Urteil auch die Dauer der Speicherung erhobener Daten. Bisher wurden die Daten fünf Jahre gespeichert. Nun sollen es nur noch sechs Monate sein. Sollte sich in diesem Zeitraum nicht ergeben haben, dass die Reise im Zusammenhang mit gefährlichen Straftaten stand, sind sie zu löschen. Länger aufbewahrt werden dürfen dann nur Daten, die objektive Anhaltspunkte für schwere Kriminalität oder Terror liefern.

Das EuGH-Urteil gilt für alle Reisenden, die EU-Grenzen überschreiten

Das Urteil zur eingeschränkten Datenerhebung und Auswertung gilt auch für Bahn-, Bus- und Schiffsreisende.

Die belgische Menschenrechtsorganisation Ligue des droits humains (Liga für Menschenrechte) hatte gegen die 2016 in Kraft getretene PNR-Richtlinie geklagt, denn sie sieht unter anderem das Recht auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten verletzt. Nach belgischem Recht sind Flug-, Bahn-, Bus-, Fähr- und Reiseunternehmen verpflichtet, die Daten ihrer Passagiere, die über die Landesgrenzen hinaus unterwegs sind, an eine Zentralstelle weiterzugeben, in der unter anderem Polizei und Geheimdienste vertreten sind.