Verarbeitung von Fluggastdaten zur Terrorbekämpfung – BGBl

BGBl I 2018/64, ausgegeben am 16. 8. 2018

Umsetzung der RL (EU) 2016/681

Das PNR-Gesetz dient der Umsetzung der RL (EU) 2016/681 [über die Verwendung von Fluggastdatensätzen (Passenger Name Record-Daten, im folgenden PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität (PNR-Richtlinie)].

Die Überprüfung der Fluggastdaten soll es den Sicherheitsbehörden, Staatsanwaltschaften, Gerichten, Zollbehörden, dem Abwehramt sowie dem Heeres-Nachrichtenamt im Rahmen ihrer Befugnisse und der engen Zweckbindung der PNR-RL ermöglichen, nicht nur bereits bekannte Personen zielgerichtet zu identifizieren, sondern auch solche Personen, die den zuständigen Behörden bislang nicht bekannt waren und die mit einer terroristischen Straftat oder einer Straftat von vergleichbarer Schwere in Zusammenhang stehen könnten.

PNR–G

Zur Umsetzung der PNR-RL wurde das vorliegende PNR-G geschaffen, das mit 17. 8. 2018 in Kraft getreten ist.

Das PNR-G regelt die Verarbeitung von Fluggastdaten zur Vorbeugung, Verhinderung und Aufklärung von

-

sog. terroristischen Straftaten, dh von strafbaren Handlungen gem „§ 165 Abs 3 zweiter Fall, §§ 278b bis 278f und § 282a“ StGB (Anm d Red: noch nicht berücksichtigt ist hier die beabsichtigte Schaffung des neuen § 278g StGB [Reisen zu terroristischen Zwecken] durch RV 252 BlgNR 26. GP, siehe Rechtsnews 25671),

-

sowie solchen gerichtlich strafbaren Handlungen, die einer der im Anhang angeführten Kategorien zuzuordnen und mit einer Freiheitsstrafe bedroht sind, deren Obergrenze mindestens 3 Jahre beträgt. Im Anhang werden 26 Deliktskategorien genannt, im Wesentlichen Beteiligung an einer kriminellen Vereinigung, Menschenhandel, sexuelle Ausbeutung von Kindern und Kinderpornografie, Vergewaltigung; illegaler Handel mit Drogen und psychotropen Stoffen, mit Hormonen und anderen Wachstumsförderern, mit menschlichen Organen, mit Waffen, Munition und Sprengstoffen, mit nuklearen und radioaktiven Substanzen, mit gestohlenen Kfz oder mit Kulturgütern; vorsätzliche Tötung, schwere Körperverletzung, Entführung, Freiheitsberaubung und Geiselnahme; Korruption, Betrugsdelikte, Wäsche von Erträgen aus Straftaten und Geldfälschung, Diebstahl in organisierter Form oder mit Waffen, Betrügerische Nachahmung und Produktpiraterie; Computerstraftaten/Cyberkriminalität; Umweltkriminalität (einschließlich des illegalen Handels mit bedrohten Tier- oder Pflanzenarten); Beihilfe zur illegalen Einreise und zum illegalen Aufenthalt; Fälschung von amtlichen Dokumenten und Handel damit; Verbrechen, die in die Zuständigkeit des Internationalen Strafgerichtshofs fallen, Flugzeug- und Schiffsentführung, Sabotage und Wirtschaftsspionage.

Für die Verarbeitung der Fluggastdaten ist die nationale Fluggastdatenzentralstelle (Passenger Information Unit – PIU) beim BMI eingerichtet, an die die Luftfahrtunternehmen die Fluggastdaten bei Drittstaatsflügen iSd Art 3 Z 2 der PNR-RL nach oder aus Österreich kostenlos und selbsttätig schon vor der planmäßigen Ankunfts- oder Abflugzeit übermitteln müssen (sowie gem § 2 Abs 4 PNR-G im Einzelfall zur Abwehr einer „bestimmten und gegenwärtigen Gefahr“ durch eine terroristische strafbare Handlung). Die allgemeine Übermittlung hat gem § 2 Abs 1 PNR-G 24 bis 48 Stunden vor der planmäßigen Abflugzeit zu erfolgen sowie unverzüglich nach Abschluss der passagierbezogenen Formalitäten (vgl dazu § 3 Abs 1 Z 10 PNR-G, wonach zu den Fluggastdaten der „Reisestatus“ des Fluggastes gehört, ua mit Angaben über Eincheckstatus, nicht angetretene Flüge und Fluggäste mit Flugschein, aber ohne Reservierung).

Ein Drittstaatsflug iSd Art 3 Z 2 der PNR-RL ist jeder Linien- oder Gelegenheitsflug eines Luftfahrtunternehmens, der von einem Drittstaat aus startet und das Hoheitsgebiet eines Mitgliedstaats zum Ziel hat oder der vom Hoheitsgebiet eines Mitgliedstaats aus startet und einen Drittstaat zum Ziel hat, wobei in beiden Fällen Flüge mit Zwischenlandung im Hoheitsgebiet von Mitgliedstaaten oder Drittstaaten eingeschlossen sind.

Der BMI wird weiters ermächtigt, durch Verordnung den Anwendungsbereich auf Innereuropäische Flüge zu erstrecken (dh Beförderung von Personen von/nach Österreich in einen/aus einem Mitgliedstaat der EU; § 2 Abs 5 PNR-G).

Hinweis: Von dieser Verordnungermächtigung wurde bereits Gebrauch gemacht: Die PNR-Verordnung (PNR-VO), BGBl II 2018/208, ist ebenfalls am 17. 8. 2018 in Kraft getreten und erstreckt den Anwendungsbereich des PNR-G – vorläufig befristet auf 6 Monate – auf Personen, die mit einem Luftfahrzeug aus einem EU-Mitgliedstaat nach Österreich oder aus Österreich in einen EU-Mitgliedstaat befördert werden.

Welche Fluggastdaten (PNR-Daten) zu übermitteln sind, regelt § 3 PNR-G; es handelt sich um die Angaben von Fluggästen, die die Luftfahrtunternehmen für ihre eigenen geschäftlichen Zwecke in ihren Buchungs-, Abfertigungs- oder sonstigen vergleichbaren Systemen erfassen und speichern (also ua auch Zahlungsinformationen, Gepäckangaben, Mitreisenden etc). Fluggastdaten enthalten ausschließlich Informationen, die die Fluggäste insb bei der Reservierung oder Buchung von Flügen oder beim Check-In eines Fluges zur Verfügung stellen. Luftfahrtunternehmen sind nicht dazu verpflichtet, über die von ihnen bereits erhobenen Fluggastdaten hinaus weitere Daten bei den Fluggästen zu erheben. Übermittelte Daten, die nicht Fluggastdaten iSd § 3 PNR-G sind, muss die Fluggastdatenzentralstelle unverzüglich nach Kenntnisnahme löschen.

PNR-Daten dürfen ausschließlich für Zwecke der Vorbeugung, Verhinderung und Aufklärung der terroristischen und anderen schweren Straftaten verarbeitet werden. Im Rahmen dieser Tätigkeiten können PNR-Daten von der Fluggastdatenzentralstelle zu folgenden Zwecken verwendet werden:

-	Überprüfung von Fluggästen vor der Ankunft oder vor dem Abflug nach festgelegten Risikokriterien oder zur Identifizierung bestimmter Personen,
-	als Beiträge zur Entwicklung dieser Risikokriterien,
-	für konkrete Ermittlungs- und Strafverfolgungszwecke.

Um das von der PNR-RL geforderte hohe Datensicherheitsniveau zu gewährleisten, hat die Datenübermittlung unter Verwendung sicherer Kommunikationskanäle zu erfolgen, die durch die Fluggastdatenzentralstelle festgelegt werden. Die PNR-RL selbst sieht eine ganze Reihe rechtlicher und organisatorischer Vorgaben zur Absicherung und Gewährleistung des Datengeheimnisses vor. Neben der strikten Zweckbindung sind hier insb die Verpflichtung zur Depersonalisierung von Fluggastdaten nach 6 Monaten ab Übermittlung der Daten sowie die Kontrollrechte des weisungsfreien Datenschutzbeauftragten (§§ 5 und 57 DSG) im BMI zu nennen. Daten in der PNR-Datenbank und in der Trefferverwaltung sind 5 Jahre nach Übermittlung durch die Luftfahrtunternehmen zu löschen.

Wer als Luftfahrtunternehmen entgegen § 2 PNR-G Fluggastdaten nicht, nicht in der vorgeschriebenen Weise, nicht vollständig oder nicht rechtzeitig übermittelt, begeht eine Verwaltungsübertretung und ist von der Landespolizeidirektion mit Geldstrafe von 5.000 € bis zu 15.000 €, im Wiederholungsfall bis zu 30.000 €, zu bestrafen.