Deutscher Bundestag Zulässigkeit der Verwendung von Fluggastdatensätzen zur Bekämpfung von schwerer Kriminalität und Terrorismus nach deutschem Recht Ausarbeitung Wissenschaftliche Dienste WD 3 – 3000 – 074/11 Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 2 Zulässigkeit der Verwendung von Fluggastdatensätzen zur Bekämpfung von schwerer Kriminalität und Terrorismus nach deutschem Recht Verfasser/in: Aktenzeichen: WD 3 – 3000 – 074/11 Abschluss der Arbeit: 10. März 2011 Fachbereich: WD 3: Verfassung und Verwaltung Telefon: Ausarbeitungen und andere Informationsangebote der Wissenschaftlichen Dienste geben nicht die Auffassung des Deutschen Bundestages, eines seiner Organe oder der Bundestagsverwaltung wieder. Vielmehr liegen sie in der fachlichen Verantwortung der Verfasserinnen und Verfasser sowie der Fachbereichsleitung. Der Deutsche Bundestag behält sich die Rechte der Veröffentlichung und Verbreitung vor. Beides bedarf der Zustimmung der Leitung der Abteilung W, Platz der Republik 1, 11011 Berlin. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 3 Inhaltsverzeichnis 1. Einleitung 4 2. Geplante Maßnahmen des PNR-Richtlinienentwurfs 5 2.1. Errichtung einer PNR-Zentralstelle 5 2.2. Übermittlung von Fluggastdatensätzen 5 2.3. Verarbeitung von Fluggastdatensätzen 6 2.4. Weiterleitung der PNR-Daten an andere Mitgliedstaaten 6 2.5. Weitergabe der PNR-Daten an Drittländer 6 2.6. Speicherfristen 7 2.7. Sanktionen gegen Fluggesellschaften 7 2.8. Schutz personenbezogener Daten 7 3. Recht auf informationelle Selbstbestimmung 8 3.1. Eingriff 9 3.2. Verfassungsrechtliche Rechtfertigung 10 3.2.1. Beachtung des Gebotes der Normenklarheit 10 3.2.2. Beachtung des Grundsatzes der Verhältnismäßigkeit 11 3.2.2.1. Geeignetheit der Maßnahmen 11 3.2.2.2. Erforderlichkeit der Maßnahmen 12 3.2.2.3. Angemessenheit der Maßnahmen 13 4. Zusammenfassende Bewertung 15 Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 4 1. Einleitung Die Europäische Kommission hat am 2. Februar 2011 einen Vorschlag für eine EU-Richtlinie über die Verwendung von Fluggastdatensätzen zur Bekämpfung von schwerer Kriminalität und Terrorismus (im Folgenden „PNR-RL-Entwurf“ genannt) vorgelegt.1 Danach sollen Fluggesellschaften verpflichtet werden, Fluggastdaten („Passenger Name Records“ – PNR-Daten) von Personen , die in die EU einreisen oder aus ihr ausreisen, an eine zuständige staatliche Stelle im Ankunfts - oder Abflugstaat (PNR-Zentralstelle) weiterzuleiten. Die Daten sollen von dieser Behörde gesammelt, gespeichert, ausgewertet und an die für die Bekämpfung von schwerer Kriminalität und Terrorismus zuständigen Behörden weitergeleitet werden. Es gibt bereits aktuell die Verpflichtung für deutsche Fluggesellschaften, PNR-Daten bereitzustellen . Das deutsche Umsetzungsgesetz zur Richtlinie 2004/82/EG2 sieht vor, dass Beförderungsunternehmen auf Anforderung der Grenzschutzbehörden bei Flügen aus Drittstaaten in EU- Mitgliedstaaten bestimmte Passagierdaten übermitteln müssen. Die Regelungen zielen in erster Linie auf eine Verbesserung der Einreisekontrolle und die Bekämpfung der illegalen Einwanderung . Des Weiteren existieren bereits Abkommen zwischen der EU und den Vereinigten Staaten, Kanada und Australien über die Übermittlung von PNR-Daten aller Personen, die in diese Länder fliegen bzw. aus ihnen in die EU einreisen.3 Die Ausarbeitung untersucht, ob die Umsetzung des PNR-RL-Entwurfs zu verfassungsrechtlichen Problemen in Deutschland führen würde. EU-Richtlinien sind hinsichtlich des zu erreichenden Ziels verbindlich. Die Verpflichtung zu ihrer Umsetzung besteht dabei grundsätzlich unabhängig von innerstaatlichen Hindernissen. Eine Anwendbarkeit von Unionsrecht wird grundsätzlich nicht am Maßstab der Grundrechte des Grundgesetzes überprüft, solange die Europäische Union einen wirksamen Schutz der Grundrechte gewährleistet, der dem vom Grundgesetz gebotenen Schutz im Wesentlichen gleich ist. Dieser Grundsatz gilt auch für innerstaatliche Rechtsvorschriften, die zwingende Vorgaben einer Richtlinie in deutsches Recht umsetzen.4 Insoweit würden sich durch eine konsequente Umsetzung des PNR-RL-Entwurfs grundsätzlich keine verfassungsrechtlichen Probleme ergeben. 1 Vorschlag für eine RICHTLINIE DES EUROPÄISCHEN PARLAMENTS UND DES RATES über die Verwendung von Fluggastdatensätzen zu Zwecken der Verhütung, Aufdeckung, Aufklärung und strafrechtlichen Verfolgung von terroristischen Straftaten und schwerer Kriminalität, KOM(2011) 32 endgültig. 2 Drittes Gesetz zur Änderung des Bundespolizeigesetzes, BGBl. I 2007, 3214. 3 PNR Abkommen EU-USA, Amtsblatt der Europäischen Union, L 204, vom 4.8.2007, S. 18 ff.; PNR Abkommen EU-Kanada, Amtsblatt der Europäischen Union, L 82, vom 21.3.2006, S. 15; PNR Abkommen EU-Australien, Amtsblatt der Europäischen Union, L 213, vom 8.8.2008, S. 49. 4 BVerfG, 1 BvR 256/08 vom 2.3.2010, Absatz-Nr. 181. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 5 Das Bundesverfassungsgericht (BVerfG) würde die Umsetzung einer EU-Richtlinie aber ausnahmsweise überprüfen, wenn die durch Art. 79 Abs. 3 GG geschützte Verfassungsidentität betroffen ist. Das BVerfG hat zuletzt in einer Entscheidung vom März 20105 festgestellt, dass es zur verfassungsrechtlichen Identität der Bundesrepublik Deutschland gehöre, die Freiheitswahrnehmung der Bürger nicht total zu erfassen und zu registrieren. Deshalb wäre für ein Umsetzungsgesetz zum PNR-RL-Entwurf, das die Verwendung von Fluggastdatensätzen regelt, das allgemeine Persönlichkeitsrecht in der Ausprägung als Recht auf informationelle Selbstbestimmung (Art. 2. Abs. 1 i.V.m. Art. 1 Abs. 1 GG) zu beachten. EU-Richtlinien lassen gemäß Art. 288 Abs. 3 Vertrag über die Arbeitsweise der Europäischen Union (AEUV) den einzelnen Mitgliedstaaten bei der Umsetzung die Wahl der Form und der Mittel . Die Ausarbeitung untersucht daher, ob ein nationales Umsetzungsgesetz, das den im Richtlinienvorschlag gegebenen Umsetzungsspielraum ausschöpft, verfassungskonform wäre. Da der PNR-RL-Entwurf bis zu seiner Verabschiedung auf europäischer Ebene noch Veränderungen erfahren wird, kann die verfassungsrechtliche Prüfung nur den Rahmen aufzeigen. 2. Geplante Maßnahmen des PNR-Richtlinienentwurfs 2.1. Errichtung einer PNR-Zentralstelle Jeder Mitgliedstaat soll eine Behörde einrichten, die PNR-Daten der Fluggesellschaften sammelt, speichert, auswertet und an die für die Bekämpfung von schwerer Kriminalität und Terrorismus zuständigen Behörden weiterleitet (Art. 3 Abs. 1 PNR-RL-Entwurf). 2.2. Übermittlung von Fluggastdatensätzen Fluggesellschaften sollen verpflichtet werden, Datensätze von Fluggästen, die aus Drittstaaten im Hoheitsgebiet der Mitgliedstaaten ankommen und von dort abreisen, an die PNR-Zentralstelle des Mitgliedstaates zu übermitteln (Art. 6 Abs. 2 PNR-RL-Entwurf). Wenn in Einzelfällen, „im Zusammenhang mit der Reaktion auf eine konkrete und akute Bedrohung durch terroristische Straftaten oder schwere Kriminalität“, ein Zugriff auf die PNR-Daten erforderlich ist, sollen die Fluggesellschaften die Daten auf Anfrage grundsätzlich jeder PNR- Zentralstelle übermitteln (Art. 6 Abs. 4 PNR-RL-Entwurf). 5 BVerfG, 1 BvR 256/08 vom 2.3.2010, Absatz-Nr. 218. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 6 2.3. Verarbeitung von Fluggastdatensätzen Die Verarbeitung der Fluggastdatensätze beinhaltet die Erfassung, Verwendung und Speicherung der PNR-Daten (Art. 1 Abs. 1 PNR-RL-Entwurf). Dies soll dem Zweck dienen, „Personen zu ermitteln , die an einer terroristischen Straftat oder einem Akt schwerer grenzüberschreitender Kriminalität beteiligt sein könnten“ (Art. 4 Abs. 2 lit. a, b PNR-RL-Entwurf). Es ist vorgesehen, für die Durchführung solcher Überprüfungen mit Hilfe der PNR-Daten aktuelle Kriterien aufzustellen (Art. 4 Abs. 2 lit. d PNR-RL-Entwurf). Außerdem sollen die Daten für die Beantwortung von begründeten Anfragen von Behörden, die für die Verhütung, Aufdeckung, Aufklärung oder strafrechtliche Verfolgung von terroristischen Straftaten und schwerer Kriminalität zuständig sind, herangezogen werden (Art. 4 Abs. 2 lit. c PNR-RL-Entwurf). Der Richtlinienvorschlag sieht vor, dass die Weiterverarbeitung der PNR-Daten in den zuständigen Behörden „ausschließlich zum Zweck der Verhütung, Aufdeckung, Aufklärung und strafrechtlichen Verfolgung von terroristischen Straftaten und schwerer Kriminalität“ erfolgen darf (Art. 5 Abs. 4 PNR-RL-Entwurf). 2.4. Weiterleitung der PNR-Daten an andere Mitgliedstaaten Vorgesehen ist u.a. ein gegenseitiger Austausch der PNR-Daten (Art. 7 PNR-RL-Entwurf). Die Daten sollen an die Zentralstellen der anderen Mitgliedstaaten übermittelt werden, wenn dies für die Verhütung, Aufdeckung, Aufklärung oder strafrechtliche Verfolgung von terroristischen Straftaten oder schwerer Kriminalität erforderlich ist. Vollständige Fluggastdatensätze sollen nur unter außergewöhnlichen Umständen als Reaktion auf eine konkrete Bedrohung oder im Zuge konkreter Ermittlungen oder Strafverfolgungsmaßnahmen im Zusammenhang mit terroristischen Straftaten oder schwerer Kriminalität angefordert werden können (Art. 7 Abs. 3 PNR-RL-Entwurf). Ausnahmsweise soll die PNR-Zentralstelle eines Mitgliedstaats bei der PNR-Zentralstelle eines anderen Mitgliedstaats zu jeder Zeit PNR-Daten über in dessen Hoheitsgebiet ankommende oder von dort abgehende Flüge anfordern können, wenn auf eine konkrete akute Bedrohung im Zusammenhang mit terroristischen Straftaten oder schwerer Kriminalität reagiert werden müsse (Art. 7 Abs. 5 PNR-RL-Entwurf). 2.5. Weitergabe der PNR-Daten an Drittländer Eine Weitergabe der PNR-Daten an Drittländer soll nur unter engen Voraussetzungen möglich sein. Als Voraussetzung für eine Weiterleitung der Daten ist u.a. vorgesehen, dass der Drittstaat ein angemessenes Schutzniveau für die beabsichtigte Datenverarbeitung gewährleistet (Art. 8 Abs. lit. a PNR-RL-Entwurf i.V.m. Rahmenbeschluss 2008/977/JI DES RATES6). Außerdem müsse 6 Amtsblatt der Europäischen Union, L 350, vom 30.12.2008, S. 72 ff. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 7 sich der Drittstaat bereit erklären, die Daten nur zur Bekämpfung von schwerer Kriminalität und Terrorismus zu verwenden. 2.6. Speicherfristen Der Richtlinienvorschlag sieht vor, dass PNR-Daten für einen Zeitraum von 30 Tagen ab ihrer Übermittlung in die Datenbank der PNR-Zentralstelle vorgehalten werden. Danach sollen die Daten bei der PNR-Zentralstelle für weitere fünf Jahre anonymisiert gespeichert werden. Ein Zugriff auf die vollständigen Daten soll dann nur noch erfolgen, „wenn berechtigter Grund zu der Annahme besteht, dass er für Ermittlungen zur Abwehr einer konkreten und akuten Bedrohung oder Gefahr oder für eine konkrete Ermittlung oder Strafverfolgungsmaßnahme erforderlich ist“ (Art. 9 PNR-RL-Entwurf). 2.7. Sanktionen gegen Fluggesellschaften Vorgesehen sind abschreckende, wirksame und verhältnismäßige Sanktionen einschließlich Geldbußen gegen Fluggesellschaften, die gegen die auf der Grundlage dieser Richtlinie erlassenen einzelstaatlichen Vorschriften verstoßen (Art. 10 PNR-RL-Entwurf). 2.8. Schutz personenbezogener Daten Der Richtlinienentwurf beinhaltet „Bestimmungen zum Recht der Fluggäste auf korrekte Unterrichtung über die Erfassung der PNR-Daten, zum Recht der Fluggäste auf Auskunft über ihre Daten und auf deren Berichtigung oder Löschung sowie zum Recht auf Schadenersatz und zu Rechtsbehelfen.“7 Das innerstaatliche Recht soll so ausgestaltet werden, dass das in den Art. 17 ff. des Rahmenbeschlusses 2008/977/JI8 vorgesehene Datenschutzniveau erreicht wird (Art. 11 PNR-RL-Entwurf). Die Erhebung und Verarbeitung sensibler Daten, „die rassische oder ethnische Herkunft einer Person, ihre religiösen oder weltanschaulichen Überzeugungen, ihre politische Einstellung, ihre Mitgliedschaft in einer Gewerkschaft, ihren Gesundheitszustand oder ihr Sexualleben erkennen lassen“ (Art. 11 Abs. 3 PNR-RL-Entwurf), soll untersagt werden. Vorgesehen ist, dass eine unabhängige Kontrollstelle die Anwendung der aufgrund des Richtlinienvorschlags erlassenen Bestimmungen überwacht (Art. 12 PNR-RL-Entwurf). 7 Siehe auch: http://europa.eu/rapid/pressReleasesAction.do?reference=IP/11/120&format=HTML&aged=0&langua ge=DE&guiLanguage=en , Stand: 01.03.2011 8 Rahmenbeschluss 2008/977/JI DES RATES, Amtsblatt der Europäischen Union, L 350, vom 30.12.2008. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 8 3. Recht auf informationelle Selbstbestimmung Es gehört zur verfassungsrechtlichen Identität der Bundesrepublik Deutschland, dass die Freiheitswahrnehmung der Bürger nicht total erfasst und registriert werden darf.9 Deshalb wäre für ein Umsetzungsgesetz zum PNR-RL-Entwurf, das die Verwendung von Fluggastdatensätzen regelt , das allgemeine Persönlichkeitsrecht in der Ausprägung als Recht auf informationelle Selbstbestimmung (Art. 2. Abs. 1 i.V.m. Art. 1 Abs. 1 GG) zu beachten. Es ist zu prüfen, ob ein Umsetzungsgesetz unter Ausschöpfung des im Richtlinienvorschlag gegebenen Umsetzungsspielraums verfassungskonform wäre. Das allgemeine Persönlichkeitsrecht verbürgt dem Einzelnen u.a. das Recht, sich unerbetener heimlicher Wahrnehmungen seiner Person erwehren zu können.10 Im „Volkszählungsurteil“11 hat das Bundesverfassungsgericht daraus ein umfassendes informationelles Selbstbestimmungsrecht entwickelt. Es umfasst danach die Befugnis des Einzelnen, grundsätzlich selbst zu entscheiden, wann und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werden. Das Recht auf informationelle Selbstbestimmung schützt vor jeder Form der Erhebung, schlichter Kenntnisnahme, Speicherung, Verwendung, Weitergabe oder Veröffentlichung von persönlichen Informationen.12 Zur Vorratsspeicherung von Telekommunikationsverbindungsdaten hat das Bundesverfassungsgericht im März 2010 entschieden, dass die Speicherung solcher personenbezogener Daten und deren Verwendung zur Strafverfolgung sowie der Gefahrenabwehr grundsätzlich zulässig sei.13 Dabei seien die Maßgaben, die das Bundesverfassungsgericht aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG entwickelt hat, weitgehend auf die speziellere Garantie des Art. 10 GG übertragen worden.14 Das Bundesverfassungsgericht hat in seiner Entscheidung hohe Anforderungen an die Ausgestaltung der entsprechenden gesetzlichen Regelungen sowie deren praktische Durchführung gestellt. Danach seien hinreichend anspruchsvolle und normenklare Regelungen zur Datensicherheit, zur Begrenzung der Datenverwendung, zur Transparenz und zum Rechtschutz erforderlich. Vorratsdaten dürften nur für überragend wichtige Aufgaben des Rechtsgüterschutzes verwandt werden. Außerdem müssten die Übermittlung und Nutzung der Vorratsdaten unter Richtervorbehalt gestellt und ein Rechtsweg sowie wirksame Sanktionen bei Rechtsverletzungen der Betroffenen vorgesehen werden.15 9 BVerfG, 1 BvR 256/08 vom 2.3.2010, Absatz-Nr. 218. 10 Pieroth/Schlink, Grundrechte Staatsrecht II, 2010, S. 92, Rn. 397. 11 BVerfGE 65, 1 ff. 12 Di Fabio in: Maunz-Dürig, Grundgesetz, Art. 2 Abs. 1, Rn. 176, Stand: Juli 2001. 13 BVerfGE 100, 313 (358 f.). 14 Hofmann in: Schmidt-Bleibtreu/Hofmann/Hopfauf, Grundgesetz, 12. Auflage, 2011, Art. 2, Rn. 30. 15 Hofmann in: Schmidt-Bleibtreu/Hofmann/Hopfauf, Grundgesetz, 12. Auflage, 2011, Art. 2, Rn. 30. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 9 3.1. Eingriff Mit dem Umsetzungsgesetz zum PNR-RL-Entwurf könnte ein Eingriff in das Recht auf informationelle Selbstbestimmung erfolgen. Ein solcher läge vor, wenn der Staat die Bekanntgabe persönlicher Informationen verlangen, diese einer automatisierten Datenverarbeitung zuführen oder sie an Dritte übermitteln würde.16 Gemäß dem PNR-RL-Entwurf soll jeder Mitgliedstaat die Übermittlung von personenbezogenen Daten verlangen (vgl. Art. 6 Abs. 2 PNR-RL-Entwurf). Er wäre ferner dazu verpflichtet, diese einer automatisierten Datenverarbeitung zuzuführen (vgl. Art. 1 Abs. 1, Art. 3 Abs. 1, Art. 4 PNR-RL- Entwurf). Außerdem müsste er die Daten an Dritte übermitteln (vgl. Art. 5, 7 und 8 PNR-RL- Entwurf). Hierzu räumen die Vorgaben aus dem PNR-RL-Entwurf dem Gesetzgeber keinen Umsetzungsspielraum ein. Im Ergebnis wäre deshalb eine anlasslose Erfassung, Speicherung, Auswertung und Weiterleitung von PNR-Daten durch staatliche Stellen für einen Zeitraum von fünf Jahren und 30 Tagen zu regeln. Mit der Umsetzung dieser Maßnahmen in nationales Recht würde der Staat deshalb in das Recht der Fluggäste auf informationelle Selbstbestimmung eingreifen. Zur Beurteilung der Eingriffsintensität ist zunächst zwischen Daten in individualisierter Form und anonymisierten Daten zu unterscheiden, denn erstere unterliegen in Bezug auf die Anforderungen an die Zweckbindung und Bestimmtheit strengeren Voraussetzungen.17 In Art. 9 PNR-RL-Entwurf ist zwar vorgesehen, dass nach 30 Tagen nach Übermittlung der PNR- Daten „die Datenelemente, die die Feststellung der Identität des Fluggastes ermöglichen, auf den sich die PNR-Daten beziehen, nicht sichtbar sein“ dürfen. Ein Zugriff auf die vollständigen Datensätze soll jedoch weiterhin möglich sein (vgl. Art. 9 Abs. 2 S. 4 PNR-RL-Entwurf). Damit müsste die Möglichkeit einer Deanonymisierung der Daten weiterhin bestehen. Somit wären die Daten jederzeit individualisierbar. Für ihre Speicherung müssten deshalb die strengeren Voraussetzungen für Daten in individualisierter Form gelten. Außerdem wäre bei der Beurteilung der Eingriffsintensität grundsätzlich die Art der Daten zu berücksichtigen. In der Literatur werden die nachfolgend aufgeführten Kategorien unterschieden: a. Adresse und einfache Identitätsmerkmale, b. Daten über Krankheiten, Körperfunktionen und genetische Merkmale und c. Daten aus dem Mentalbereich über politische, weltanschauliche, religiöse Einstellung und Gesinnung. Auf Stufe a dürfen grundsätzlich Daten erfasst werden, weil dies für das geordnete Zusammenleben von Menschen erforderlich ist. Für eine Speicherung der Daten auf Stufe b müssen besonde- 16 Di Fabio in: Maunz-Dürig, Grundgesetz, Art. 2 Abs. 1, Rn. 176, Stand: Juli 2001. 17 Starck in: v. Mangoldt/Klein/Starck, GG I, 6. Aufl. 2010, Art. 2 Abs. 1 Rn. 118. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 10 re sachliche Erfordernisse hinzukommen, die sich z.B. aus dem Polizeirecht ergeben könnten. Bei Maßnahmen der Stufe c wäre zu prüfen, ob sie die Menschenwürde berühren.18 In der Regel wären die aufgrund des PNR-RL-Vorschlags erhobenen Daten der Stufe a zuzuordnen (vgl. Anhang zum PNR-RL-Vorschlag, S. 35). Es könnte jedoch aufgrund der Vielzahl der Informationen und etwaigen Besonderheiten (z.B. Hinweise für die Fluggesellschaften über gesundheitliche Einschränkungen) nicht ausgeschlossen werden, dass auch Daten der Stufe b gespeichert werden. Eine Speicherung von Daten aus der Stufe c wäre dagegen gemäß Art. 11 Abs. 3 PNR-RL-Entwurf untersagt. Bei einer Speicherung der Daten in automatisierten Datenverarbeitungssystemen wäre jedoch zu berücksichtigen, dass auch für sich gesehen belanglose personenbezogene Daten der Stufe a einen erheblichen Stellenwert bekommen könnten. Das Recht auf informationelle Selbstbestimmung wäre insoweit unabhängig von der qualitativen Aussagekraft der betroffenen persönlichen Daten zu gewähren.19 Zu berücksichtigen wäre auch die große Streubreite einer anlasslosen Speicherung von PNR-Daten. Somit würde der Gesetzgeber mit einem Umsetzungsgesetz zum PNR-RL-Vorschlag erheblich in das Recht auf informationelle Selbstbestimmung eingreifen. 3.2. Verfassungsrechtliche Rechtfertigung Diese Eingriffe in das Recht auf informationelle Selbstbestimmung könnten jedoch gerechtfertigt sein, wenn sie dem Gebot der Normenklarheit entsprächen, im überwiegenden Allgemeininteresse wären und dem Grundsatz der Verhältnismäßigkeit genügen würden.20 3.2.1. Beachtung des Gebotes der Normenklarheit Der Gesetzgeber müsste bei der Umsetzung in nationales Recht sicherstellen, dass die Regelungen im Umsetzungsgesetz dem Gebot der Normenklarheit21 gerecht werden. Dafür müssten die Zwecke der Datenerhebung gesetzlich bestimmt und die personenbezogenen Daten gegen Weitergabe und anderweitige Verwertung verfahrens- und organisationsrechtlich geschützt sein. Zudem wären Aufklärungs-, Auskunfts- und Löschungsansprüche vorzusehen. 22 Je tiefer die Daten in den Persönlichkeitsbereich hineinreichen und je umfassender die Daten benutzt werden sollen (z.B. Speicherung, Auswertung, Weitergabe, Kombination), umso strengere Anforderungen stellt das Recht der informationellen Selbstbestimmung an den mit der Datenerfassung verfolgten Zweck 18 Starck in: v. Mangoldt/Klein/Starck, GG I, 6. Aufl. 2010, Art. 2 Abs. 1 Rn. 118. 19 Di Fabio in: Maunz-Dürig, Grundgesetz, Art. 2 Abs. 1, Rn. 174, Stand: Juli 2001. 20 BVerfGE 65, 1 (44). 21 Vgl. dazu BVerfGE 65, 1 (46 ff., 54). 22 Starck in: v. Mangoldt/Klein/Starck, GG I, 6. Aufl. 2010, Art. 2 Abs. 1 Rn. 115. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 11 und dessen Bestimmtheit.23 Die Betroffenen müssten nachvollziehen können, unter welchen Bedingungen ihre Daten verwendet werden. Im Rahmen seines Umsetzungsspielraums könnte der Gesetzgeber die Richtlinienvorgaben so umsetzen, dass sie dem Gebot der Normenklarheit genügen. 3.2.2. Beachtung des Grundsatzes der Verhältnismäßigkeit Zwecke des Umsetzungsgesetzes müssten gemäß den Vorgaben im Richtlinienvorschlag die Effektivierung der Bekämpfung von schwerer Kriminalität und Terrorismus sein. Dies wären legitime Ziele, die grundsätzlich im überwiegenden Allgemeininteresse liegen.24 Der aus dem Rechtsstaatsprinzip abgeleitete Grundsatz der Verhältnismäßigkeit verbietet es, die durch das Umsetzungsgesetz nachteilig Betroffenen übermäßig zu belasten. Die Eingriffe in das Recht auf informationelle Selbstbestimmung würden dem Grundsatz der Verhältnismäßigkeit genügen, wenn sie zur Erreichung der angestrebten Zwecke geeignet, erforderlich und angemessen wären. Folgende Maßnahmen können im Rahmen einer Verhältnismäßigkeitsprüfung differenziert betrachtet werden: a) Übermittlung von PNR-Daten an eine staatliche Stelle (vgl. Art. 6 Abs. 2, Art. 3 PNR-RL- Entwurf). b) Speicherung der Daten (vgl. Art. 1 Abs. 1, Art. 3 Abs. 1, Art. 4 PNR-RL-Entwurf). c) Verarbeitung der Daten (vgl. Art. 1 Abs. 1, Art. 3 Abs. 1, Art. 4 PNR-RL-Entwurf). d) Weiterleitung der Daten an Dritte (vgl. Art. 5, 7 und 8 PNR-RL-Entwurf). 3.2.2.1. Geeignetheit der Maßnahmen Die Übermittlung, Speicherung, Verarbeitung oder Weiterleitung von PNR-Daten müsste jeweils ein geeignetes Mittel dafür sein, die Strafverfolgung und Terrorismusbekämpfung zu effektivieren. Umstritten ist bereits, ob diese Maßnahmen überhaupt dazu beitragen, schwere Kriminalität oder Terrorismus zu verhüten oder aufzuklären. Gemäß der Begründung des PNR- RL-Entwurfs könnten mit Hilfe der Identifizierung bisher nicht „bekannter“ Personen schwere Straftaten und Terrorakte verhindert oder aufgedeckt werden.25 Dazu lägen zwar bisher keine detaillierten Statistiken vor. Gemäß den Erfahrungen von Drittländern sowie von Mitgliedstaaten, die diese Daten bereits zu Strafverfolgungszwecken nutzten, hätte aber die Verwendung von PNR-Daten zu entscheidenden Fortschritten im Kampf gegen Drogen- und Menschenhandel so- 23 Vgl. BVerfG, 1 BvR 256/08 vom 2.3.2010, Absatz-Nr. 226 ff; siehe auch: Di Fabio in: Maunz-Dürig, Grundgesetz, Art. 2 Abs. 1, Rn. 182, Stand: Juli 2001; Starck in: v. Mangoldt/Klein/Starck, GG I, 6. Aufl. 2010, Art. 2 Abs. 1 Rn. 116. 24 Vgl. BVerfGE 100, 313 (373, 383 f.); 107, 299 (316); 109, 279 (336); 115, 320 (345). 25 KOM(2011) 32 endgültig, S.5. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 12 wie bei der Terrorismusbekämpfung geführt.26 Laut Mitteilung von Belgien, Schweden und dem Vereinten Königreich seien erhebliche Drogensicherstellungen maßgeblich aufgrund der Verarbeitung von PNR-Daten erfolgt.27 Mit PNR-Daten seien auch Rückschlüsse auf übliche Routen des Menschen- und Drogenhandels möglich. „Beispielsweise könnten die Strafverfolgungsbehörden aufgrund der Kreditkartenangaben, die zu den PNR-Daten gehören, Verbindungen zwischen einer Person und einem bekannten Straftäter oder einer kriminellen Vereinigung aufdecken und nachweisen .“28 Somit würden durch den Zugriff auf die PNR-Daten zusätzliche Aufklärungsmöglichkeiten geschaffen, die es sonst nicht geben würde. Es kann deshalb nicht von vorne herein ausgeschlossen werden, dass der Gesetzgeber die Übermittlung , Speicherung, Verarbeitung oder Weiterleitung von PNR-Daten als geeignet ansehen darf, die Strafverfolgung und Terrorismusbekämpfung zu effektivieren. 3.2.2.2. Erforderlichkeit der Maßnahmen Die Übermittlung, Speicherung, Verarbeitung oder Weiterleitung von PNR-Daten müsste erforderlich sein. Das wäre dann gegeben, wenn es keine weniger belastenden Maßnahmen gäbe, die eine ebenso weitreichende Aufklärung ermöglichen würden. Dabei ist zu berücksichtigen, dass auch für Zwecke der Bekämpfung schwerer Kriminalität und Terrorismus bereits die Übermittlung, Speicherung, Verarbeitung oder Weiterleitung von Fluggastdaten möglich ist. Den Grenzkontrollbehörden stehen nämlich bereits „erweiterte Fluggastdaten “ sowie Daten aus dem Schengener Informationssystem (SIS) und dem Visa- Informationssystem (VIS) zur Verfügung. Diese seien aber im Gegensatz zu PNR-Daten nur von Nutzen, wenn die Identität des Verdächtigen bekannt sei.29 Das Europäische Parlament, die Artikel-29-Datenschutzgruppe, der Europäische Datenschutzbeauftragte und die Agentur für Grundrechte haben in ihren Stellungnahmen zum Richtlinienentwurf angemerkt, dass die Notwendigkeit der vorgeschlagenen Maßnahmen ihres Erachtens nicht ausreichend nachgewiesen sei.30 Vor dem Hintergrund, dass der Gesetzgeber ggf. in Betracht kommende mildere Mittel nicht für mindestens ebenso effektiv halten könnte, kann jedoch nicht von vorne herein ausgeschlossen werden, dass er die Übermittlung, Speicherung, Verarbeitung oder Weiterleitung als erforderlich ansehen darf. 26 Vgl. KOM(2011) 32 endgültig, S.6. 27 Vgl. KOM(2011) 32 endgültig, S.7. 28 KOM(2011) 32 endgültig, S.6. 29 KOM(2011) 32 endgültig, S.7 f. 30 KOM(2011) 32 endgültig, S.11. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 13 3.2.2.3. Angemessenheit der Maßnahmen Die Übermittlung, Speicherung, Verarbeitung oder Weiterleitung der PNR-Daten wäre angemessen , wenn bei einer Gesamtabwägung zwischen der Schwere des Eingriffs und dem Gewicht und der Dringlichkeit der sie rechtfertigenden Gründe die Grenze der Zumutbarkeit gewahrt bliebe.31 Zu bewerten sind einerseits das mit den Maßnahmen verfolgte Interesse des Staates und andererseits das Ausmaß der Belastungen für die betroffenen Fluggäste. Die Gewährleistung von öffentlicher Sicherheit gehört zu den wichtigsten Aufgaben des Staates. Zu berücksichtigen ist dabei, dass der Staat etwa im Bereich der Gefahrenabwehr vorrätiger Informationen bedarf, um effektiv handeln zu können. Gemäß den Ausführungen der Europäischen Kommission in der Begründung zum PNR-RL-Entwurf würden schwere Kriminalität und terroristische Straftaten nicht nur den Opfern großen Schaden zufügten, sondern verursachten auch erhebliche wirtschaftliche Schäden und beeinträchtigten das Sicherheitsempfinden, ohne das die Menschen ihre Grundfreiheiten und individuellen Rechte nicht wirksam wahrnehmen könnten .“32 Da organisierte Kriminalität und terroristische Aktivitäten laut Information von Europol meistens grenzüberschreitenden Charakter hätten33, müsste der Gesetzgeber grundsätzlich weitreichende Aufklärungsmöglichkeiten regeln dürfen. Diesem staatlichen Interesse ist das Ausmaß der Belastungen für die betroffenen Fluggäste gegenüber zu stellen. a) Belastung der Fluggäste durch die Übermittlung der PNR Daten Laut Vorgabe des PNR-RL-Entwurfs müsste ein nationales Umsetzungsgesetz vorsehen, dass PNR-Daten ohne konkreten Anlass von den Fluggesellschaften an eine staatliche Stelle übermittelt werden. Es entspricht der ständigen Rechtsprechung des Bundesverfassungsgerichts, dass dem Staat eine Sammlung von personenbezogenen Daten auf Vorrat zu nicht bestimmten Zwecken verboten ist.34 Wenn sie jedoch zu bestimmten Zwecken erfolgt und in eine dem Eingriff adäquate gesetzliche Ausgestaltung eingebunden wäre, könne sie auch den Verhältnismäßigkeitsanforderungen im engeren Sinne genügen.35 Der Gesetzgeber würde mit einem Umsetzungsgesetz zum PNR-RL-Entwurf flächendeckend die Erfassung von Daten über Reisebewegungen und -verhalten von allen Personen, die in die EU 31 BVerfGE 102, 1 (19 ff.); 1 (19); 75, 284 (298). 32 KOM(2011) 32 endgültig, Begründung, S.2. 33 KOM(2011) 32 endgültig, Begründung, S.2. 34 Vgl. BVerfGE 65, 1 (46); 100 , 313 (360); 115, 320 (350); 118, 168 (187). 35 Vgl. BVerfG, 1 BvR 256/08 vom 2.3.2010, Absatz-Nr. 213. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 14 einreisen oder aus ihr ausreisen, vorschreiben.36 Dabei würden überwiegend einfache Identitätsmerkmale erfasst. Deshalb könnte unter Berücksichtigung des Umsetzungsspielraums des Gesetzgebers die Erfassung der PNR-Daten - ohne Befugnis zur Speicherung, Verarbeitung, und Weiterleitung – so ausgestaltet werden, dass sie angemessen wäre. b) Belastung der Fluggäste durch die Speicherung der PNR Daten Der Richtlinienvorschlag räumt den Mitgliedsstaaten im Hinblick auf die Speicherzeit keinen Umsetzungsspielraum ein. Mit der vorgesehenen anlasslosen Speicherzeit von 5 Jahren und 30 Tagen für umfangreiche personenbezogene Daten würde die vom Bundesverfassungsgericht für die Speicherung von Telekommunikationsdaten noch als verhältnismäßig angesehene Höchstgrenze von sechs Monaten37 deutlich überschritten. Dabei ist jedoch zu berücksichtigen, dass die Speicherung von Telekommunikationsdaten von nahezu allen Personen in Deutschland bezüglich des Umfangs und der Sensibilität der Daten einen sehr intensiven Eingriff in das Recht auf informationelle Selbstbestimmung darstellen würde. Demgegenüber wäre die Speicherung von PNR-Daten von Fernreisenden ein deutlich weniger intensiver Eingriff. Es kann deshalb nicht von vorne herein ausgeschlossen werden, dass der Gesetzgeber die vorgesehene langfristige Speicherzeit von PNR-Daten noch als angemessen ansehen darf. c) Belastung der Fluggäste durch die Verarbeitung der PNR Daten Nach den Vorgaben des PNR-RL-Entwurfs müsste Deutschland in einem Umsetzungsgesetz die anlasslose weitreichende Verarbeitung der PNR-Daten durch staatliche Stellen vorsehen. Im Rahmen des ihm zustehenden Umsetzungsspielraums könnte der nationale Gesetzgeber eine effektive Kontrolle der Datenverarbeitung national regeln. Dazu müsste die dafür vorgesehene unabhängige „Nationale Kontrollstelle“38 so ausgestaltet werden, dass sie eine wirksame Kontrolle einer begrenzten Datenverwendung gewährleistet. Gemäß Art. 4 Abs. 2 lit. d PNR-RL-Entwurf müsste das Umsetzungsgesetz Datenauswertungen vorsehen, die es ermöglichen, „bisher unbekannte“ Personen herauszufiltern, die an einer terroristischen Straftat oder einem Akt schwerer grenzüberschreitender Kriminalität beteiligt sein könnten.39 Somit würde die vorgeschriebene anlasslose PNR-Daten-Verarbeitung bereits auf eine Persönlichkeitsprofilbildung abzielen. Auch im Hinblick auf die Verarbeitung der Daten kann jedoch nicht von vorne herein ausgeschlossen werden, dass der Gesetzgeber sie als angemessen ansehen darf. 36 McGinley, Die Verarbeitung von Fluggastdaten für Strafverfolgungszwecke, in: Datenschutz und Datensicherheit, 2010, 4, S. 250. 37 Vgl. BVerfG, 1 BvR 256/08 vom 2.3.2010, Absatz-Nr. 215. 38 Vgl. Art. 12 KOM(2011) 32 endgültig. 39 Vgl. Art. 4 Abs. 2 lit. d KOM(2011) 32 endgültig. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 15 d) Belastung der Fluggäste durch die Weiterleitung der PNR Daten Gemäß Art. 5 und Art. 7 des PNR-RL-Entwurfs ist eine umfassende Weitergabe von PNR-Daten an andere Stellen ohne konkreten Anlass vorgesehen. Deutschland hätte bei der Umsetzung dieser Vorgaben nur einen geringen Umsetzungsspielraum. Der Gesetzgeber müsste eine nationale Regelung treffen, die eine Weiterleitung der PNR-Daten an andere Stellen vorsieht. Damit wäre die Gefahr verbunden, dass Dritte die PNR Daten mit weiteren Daten verknüpfen und daraus umfangreiche Bewegungsprofile erstellen könnten. In einem nationalen Umsetzungsgesetz könnte die Möglichkeit der Weiterleitung von PNR-Daten begrenzt werden. Im Rahmen des dem nationalen Gesetzgeber zustehenden Umsetzungsspielraums, könnten enge Kriterien dafür festgelegt werden, in welchen Fällen eine Weitergabe der Daten für die Verhütung, Aufdeckung, Aufklärung oder strafrechtliche Verfolgung von terroristischen Straftaten erforderlich ist. Deshalb kann nicht von vorne herein ausgeschlossen werden, dass der Gesetzgeber auch eine Weiterleitung der Daten als angemessen ansehen darf. Zusätzlich müssten noch die Gesamtbelastungen für die betroffenen Personen durch die Speicherung und Verarbeitung von personenbezogenen Daten berücksichtigt werden. Das Bundesverfassungsgericht hat dazu ausgeführt, dass es in Deutschland keine Gesetzgebung geben dürfe, die auf eine flächendeckende anlasslose Speicherung von Daten für Zwecke der Strafverfolgung und Gefahrenprävention zielt. Sollte es in absehbarer Zeit tatsächlich wieder ein Gesetz zur vorsorglichen Speicherung von Telekommunikationsdaten geben, würde der Spielraum für weitere anlasslose Datensammlungen schon deshalb geringer.40 Insgesamt kann jedoch nicht von vorne herein ausgeschossen werden, dass der nationale Gesetzgeber Regelungen über die Speicherung, Auswertung und Weiterleitung von PNR-Daten durch staatliche Stellen für einen Zeitraum von fünf Jahren und 30 Tagen als angemessen ansehen darf. Sofern der deutsche Gesetzgeber die Regelungen im Umsetzungsgesetz so ausgestalten würde, dass sie dem Grundsatz der Verhältnismäßigkeit genügen, wäre ein nationales Umsetzungsgesetz zu dem PNR-RL-Entwurf verfassungskonform. 4. Zusammenfassende Bewertung Zur Zeit liegt lediglich ein Vorschlag für eine EU-Richtlinie über die Verwendung von Fluggastdatensätzen zur Bekämpfung von schwerer Kriminalität und Terrorismus vor. Dieser sieht im Kern vor, dass Deutschland in einem Umsetzungsgesetz eine anlasslose Erfassung, Speicherung, Auswertung und Weiterleitung von PNR-Daten durch staatliche Stellen für einen Zeitraum von fünf Jahren und 30 Tagen regeln müsste. Gemäß Rechtsprechung des Bundesverfassungsgerichts gehört es zur verfassungsrechtlichen Identität der Bundesrepublik Deutschland, dass die Freiheitswahrnehmung der Bürger nicht total 40 Vgl. BVerfG, 1 BvR 256/08 vom 2.3.2010, Absatz-Nr. 218. Wissenschaftliche Dienste Ausarbeitung WD 3 – 3000 – 074/11 Seite 16 erfasst und registriert werden darf. Deshalb wäre bei einer Umsetzung des PNR-RL-Entwurfs auch das aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG abgeleitete allgemeine Persönlichkeitsrecht in der Ausprägung als Recht auf informationelle Selbstbestimmung zu beachten. Die in einem Umsetzungsgesetz zum PNR-RL-Entwurf zu regelnden Eingriffe in das Recht auf informationelle Selbstbestimmung wären verfassungsrechtlich gerechtfertigt, wenn sie dem Gebot der Normenklarheit entsprächen, im überwiegenden Allgemeininteresse wären und dem Grundsatz der Verhältnismäßigkeit genügen würden. Wenn der deutsche Gesetzgeber den erheblichen Nutzen der im PNR-RL-Entwurf vorgesehenen Maßnahmen für die Bekämpfung von schwerer Kriminalität und Terrorismus ausreichend belegen könnte, und die Regelungen im Umsetzungsgesetz unter Ausschöpfung des im Richtlinienvorschlag gegebenen Umsetzungsspielraums so ausgestalten würde, dass sie dem Grundsatz der Verhältnismäßigkeit genügen, wäre ein nationales Umsetzungsgesetz zu dem PNR-RL-Entwurf verfassungskonform.