Spezialinformation: Ausverkauf europäischer Fluggastdaten

Bürger werden mit PNR-Abkommen zu Freiwild

US-Selbstbedienung via EDV-Systeme

Andreas MÖLZER

In den letzten Jahren wurden im Namen der Terrorbekämpfung zunehmend Grundrechte beschnitten. Die Sinnhaftigkeit ist dabei oft zweifelhaft: Während der Passagier quasi bis auf die Unterhose durchsucht wird und in seinem Gepäck weder Nagelfeile noch Deo haben darf, bleibt die Kontrolle von Frachtgut häufig der Spedition selbst überlassen.

Seit 2001 verwenden die amerikanischen Geheimdienste Daten aus den Buchungs- und Verrechnungssystemen der Fluglinien – sogenannte „Passenger Name Records“ (PNR), also Flugpassagierdaten. Die massenweise Weitergabe personenbezogener Daten widerspricht jedoch europäischem Datenschutzrecht, weshalb die Kommission mit Verhandlungen über ein entsprechendes Abkommen betraut wurde. Schließlich läuft die derzeit geltende Übergangslösung spätestens im Juli 2014 aus. Allein, nachdem den USA der Zugriff auf die Passagierdaten über die EDV-Systeme jederzeit möglich war, gab es seitens der Amerikaner keinerlei Interesse an einem Abkommen mit der EU. Vielmehr wurden die Europäer mit der angedrohten Wiedereinführung der Visumspflicht unter Druck gesetzt. Diese Drohung hat ja auch schon bei der von den USA geforderten Einführung biometrischer Pässe (natürlich ebenfalls zwecks effizienterer Terrorismusbekämpfung) gewirkt.

Keine Kontrolle über die Datenverwendung

Schon seit langem ist klar, dass die vorgeblich zur Terrorismusbekämpfung und zur Bekämpfung anderer Schwerverbrechen gesammelten Daten für weitergehende Zwecke verwendet werden. Im neu verhandelten Abkommen wird beispielsweise rasch deutlich, dass Reisedaten nicht nur der Terrorbekämpfung dienen, sondern auch dem Grenzschutz.

Obendrein ist der Wirtschaftsspionage Tür und Tor geöffnet: Für Übernahmegespräche in ein anderes Land zu fliegen, wäre Topmanagern sicherlich nicht mehr möglich, ohne dass der Geheimdienst davon weiß.

Selbst Aussagen in sozialen Netzwerken können schwerwiegende Konsequenzen haben – was zwei Briten auf die harte Tour erfuhren. Deren ein mit dem den Briten eigenen schwarzen Humor getwittertes „… free this week for a quick gossip before I go and destroy America?“ wurde als Ankündigung eines Terroranschlags aufgefasst. Wird indes eine Person auf einem Flug verdächtigt, wird vorsorglich gleich dem Flugzeug das Passieren des US-Luftraums verweigert.

Kein Beweis für den Erfolg bei Terrorismusbekämpfung

Besonders bedenklich ist, dass dieser massive Eingriff in die Grundrechte im Namen der Terrorismusbekämpfung erfolgt, obwohl der Nutzen der PNR-Daten für die Terrorbekämpfung nicht einmal bewiesen ist. Aus den Unmengen an Fluggastdaten auf Terrorabsichten schließen zu wollen, ist wie die Suche nach der berühmten Nadel im Heuhaufen. Es gibt keinerlei Belege dafür, dass die Fluggastdatensammlung einen „Mehrwert“ bei der Verfolgung von Terroristen oder Schwerverbrechen bringt. Experten sind gar der Ansicht, dass selbst die wenigen als Rechtfertigung vorgeschobenen Einzelfahndungserfolge auch ohne PNR möglich gewesen wären. Inwieweit die bisherigen Maßnahmen zur Terrorismusbekämpfung wie Vorratsdatenspeicherung und die Einführung biometrischer Pässe – abgesehen von Milliardenkosten – etwas gebracht haben, ist ebenfalls fraglich. Die Mordanschläge von Mohamed M. (im französischen Toulouse), der ja auf einer US-Terroristenliste stand, erweisen erneut Vorrats- oder Fluggastdatenspeicherung als für die Terrorbekämpfung ungeeignete Mittel.

Von wegen Datenschutz

Schon als der SWIFT-Kompromiss ausgehandelt wurde, war klar, dass das, was als Datenschutz verkauft wurde, einen peinlichen Selbstbetrug der Europäer darstellt. Das EU-eigene Überwachungssystem hat sich nicht, wie vermutet, erst binnen einiger Jahre als Placebo, als Beruhigungspille für die Kritiker, herausgestellt, sondern schon binnen einiger Monate. Die vollmundigen Ankündigungen der EU, man werde für Datenschutz sorgen, wurden sogar vom Juristischen Dienst der Kommission selbst als jene Augenauswischerei enttarnt, als die Datenschützer sie von Anfang an kritisiert haben.

Die EU gibt sich stolz darüber, dass die Daten nicht mehr unendlich gespeichert werden, sondern die Speicherzeit auf 15 Jahre begrenzt ist. Der angebliche Rechtsbehelf besteht weiter nur auf dem Papier. Schließlich müsste vor einem US-Bundesgericht nach US-Recht geklagt werden. Und genau hier liegt der Hund begraben: Nachdem der Datenschutz in den USA noch in den Kinderschuhen steckt ist nach US-amerikanischen Bestimmungen die Erfassung der meisten Daten völlig legal.

Die einzige tatsächliche Neuerung ist die Auskunftspflicht des Heimatschutzministeriums. Somit soll jeder Reisende das Recht erhalten, Informationen über die Verwendung seiner Daten zu bekommen. Der Umgang mit den Daten unterliegt in den USA weder der Kontrolle von Gerichten noch Datenschutzbehörden. Die amerikanische Heimatschutzbehörde DHS ist in ihrem Tun nicht einmal dem Parlament rechenschaftspflichtig.

Im Rahmen ihres Verhandlungsmandats hätte die Kommission die rechtswidrige Erpressung der Fluggesellschaften zur Datenherausgabe beenden sollen. Während im australischen Abkommen die Speicherfristen auf fünfeinhalb Jahre fixiert wurden, ohne dass sensible Daten freigegeben werden, soll das US-Heimatschutzministerium weiterhin 15 Jahre quasi uneingeschränkten Zugriff auf alle personenbezogenen Daten haben. Theoretisch werden die Fluggastdaten nach zehn Jahren vollständig anonymisiert. Praktisch indes können diese Daten stets zwecks Rasterfahndung verwendet werden um Personen zu identifizieren, „die Gegenstand von näheren Befragungen oder Untersuchungen werden“. Kann eine Fluglinie die Daten nicht binnen zwei Jahre ab Inkrafttreten liefern, erhält die USA Zugang gar direkten zu ihrem Datensystem. Da lässt George Orwell grüßen.

US-Datenschutz steckt in den Kinderschuhen

Der Flugdatenexperte Edward Hasbrouck klagt seit 2006 nach US-Datenschutzrecht gegen seine Regierung vergeblich auf Einsicht in sein Bewegungsprofil. Die Behauptungen seitens des Ministeriums für Heimatschutz, dass alle Anfragen auf Zugang zu den gespeicherten Flugpassagierdaten– beantwortet würden und dass es in den USA keinerlei Beschwerden über Datenmissbrauch gegeben habe, entsprächen überhaupt nicht der Wahrheit, so der bekannte Reisejournalist.

Der US-Gefreite Bradley Manning wurde wegen seiner Informationen an WikiLeaks verhaftet. Wie dabei aber im Land der unbegrenzten Möglichkeiten und der Freiheit mit diesen brisanten Informationen umgegangen wird und dass Twitter zur Herausgabe personenbezogener Daten verurteilt wurde, ist mehr als ominös. Das Vorgehen der US-Behörden und die Tatsache, dass die Herausgabe von Namen, E-Mail-Adressen und Bankverbindungen vom Gericht nicht als Eingriff in die Privatsphäre angesehen werden, ist jedenfalls symptomatisch für die Datenschutzbestimmungen in Übersee.

Weiteres Datenschutz-Fiasko droht

Es mag ja sein, dass beim Fluggastdatenabkommen mit Australien bessere Konditionen ausgehandelt wurden als bei jenem mit den USA. Das ändert jedoch noch lange nichts am datenschutzrechtlichen Grundproblem, denn bei der PNR-Speicherung geht es ja nicht darum, Verdächtige an Grenzkontrollstellen zu identifizieren. Nein, vielmehr erfolgt eine anlasslose und verdachtslose Vorratsdatenspeicherung aller Reisenden, aus denen dann Risikoreisende ausgemacht werden. Datenschutz bleibt also auch beim Abkommen mit Australien eine Illusion.

Ganz abgesehen davon wird das Inkrafttreten des US-Abkommens sich auf Flugdatenabkommen mit anderen Staaten auswirken. Es ist wohl schwer argumentierbar, warum diese Regelungen (sprich quasi nicht existenter Datenschutz) für ein Abkommen mit den USA angemessen sind, bei Abkommen mit anderen Staaten hingegen nicht. Es ist daher nur eine Frage der Zeit, bis Australien auf Nachverhandlungen bestehen wird. Andere Drittstaaten wie China oder Kuba wollen ebenfalls mit dem US-Abkommen vergleichbare PNR-Abkommen. Kritiker sehen überdies die Gefahr, dass hier ein Präzedenzfall geschaffen wird und Behörden in den europäischen Mitgliedsstaaten eine Anpassung der Speicherzeit für gesammelte Daten an die im Abkommen vereinbarten 15 Jahre verlangen.

EU-interne Reisedatenbank geplant

Während die Auswertung erhobener Reisedaten in Dänemark allein der Terrorismusbekämpfung dienen darf, kann sie in Frankreich zudem zur Bekämpfung illegaler Einwanderung herangezogen werden. Noch umfassender sind die Verwendungsmöglichkeiten im Vereinigten Königreich. Dort können die Sicherheitsbehörden bereits jetzt umfassend auf alle erhobenen Reisedaten zugreifen.

Ende April 2012 einigten sich die EU-Innenminister darauf, Flugpassagierdaten bei Flügen nach und aus Europa in einer EU-Datenbank zu sammeln. Nach zwei Jahren sollen die Daten anonymisiert werden, wodurch sie den Reisenden nicht mehr zuzuordnen sind. Den Mitgliedsstaaten bleibt es freigestellt, auch Daten aus innereuropäischen Verbindungen zu sammeln. Dabei ist noch nicht geklärt, ob das Register zentral oder dezentral geführt wird. Weiters ist die Aufteilung der geschätzten Kosten von 500 Millionen Euro noch offen. Und natürlich fehlt noch die Zustimmung des Europäischen Parlaments. Es bleibt abzuwarten, wie die Mehrheit der Europaabgeordneten diesen EU-Plänen gegenübersteht.

London will nicht nur ein „Datamining“ des innereuropäischen Flugverkehrs, sondern blickt begehrlich auf die Buchungsdaten von Bahn- und Schiffsreisen. Ein 1947 unterzeichneter Vertrag mit den USA sieht einen umfassenden Datenaustausch zwischen den Geheimdiensten der beiden Staaten vor. Somit werden die Daten wohl über kurz oder lang bei den Behörden der USA landen, sofern dies nicht aufgrund des US-Zugriffs auf die Buchungssysteme längst der Fall ist.

Datensammelwut kostet Milliarden

Mehrere Milliarden mussten die Fluglinien weltweit seit 2001 für die Umstellungen ihrer IT-Systeme ausgeben, um den Datenhunger der US-Behörden zu stillen. Zahlreiche europäische Billigfluglinien lassen gar ihre gesamten Daten in den USA verarbeiten. Beispiele aus den USA zeigen, dass in einem Datensatz so ziemlich alles enthalten sein kann. Auf jeden Fall weitaus mehr, als Reisende annehmen. Neben den Kreditkartendaten, Informationen über den gesundheitlichen Zustand, Sitzplatzwahl, Essens-präferenzen, der Anzahl an Gebäckstücken und ob Einzel- oder Doppelbetten gebucht wurden werden etwa auch IP-Adressen von Onlinebuchungen bis hin zur Telefonnummer von Bekannten des Reisenden erfasst.

Fluggastdatenabkommen bringt ausschließlich den USA Vorteile

Mitte April 2012 hat das EU-Parlament zähneknirschend dem US-Druck nachgegeben und für ein Abkommen gestimmt, das gegen EU-Recht verstößt und bei weitem nicht die Minimalkriterien erfüllt, für die sich das Europäische Parlament einsetzt. Denn das Abkommen zum Austausch von Fluggastdaten mit den USA bietet europäischen Bürgern keinen ausreichenden Schutz von personenbezogenen Daten. Insbesondere können die Daten auch weiterhin nach Ermessen der USA an Drittstaaten übermitteln werden, und es gibt auch keine Gleichbehandlung europäischer Flugreisender mit jenen der USA. Überdies wird das Fluggastdatenabkommen als „Executive Agreement“ eingestuft. Das bedeutet, dass es nicht dem Kongress zur Ratifizierung vorgelegt wird und deshalb für die USA auch gar nicht rechtlich bindend ist. Umgekehrt hat Washington aber Zugriff auf sämtliche Daten ab der Buchung, was noch dadurch verschlimmert wird, dass sich die Datencenter aller vier großen, globalen Buchungsdatenbanken in den Vereinigten Staaten befinden, die sich seit 2001 mit administrativen Verfügungen nach Belieben bedienen können.

Das PNR-Abkommen gibt nur den Fluglinien "Rechtssicherheit", und zwar vor etwaigen Klagen europäischer Bürger unter Berufung auf die Datenschutzgesetze eines EU-Mitgliedsstaats. In keinem einzigen Punkt, der den Europäern wichtig ist, konnte sich die EU-Kommission durchsetzen, ebenso hat sie es verabsäumt, eine Verbesserung der Rechtsstellung europäischer Flugreisender auszuhandeln. Herausgekommen ist daher ein Abkommen, das ausschließlich den USA und deren Geheimdiensten Vorteile bringt.

Wenn man sich künftig leicht verdächtig macht – und verdächtig ist bereits, wer kurzfristig fliegt, womöglich noch ohne Gepäck und dafür bar zahlt – dann ist es das Mindeste, dass es generell für Flugdatenübermittlung ein Auskunfts-, Beschwerde- und Klagerecht gibt. Und natürlich darf die Speicherung nur zweckgebunden erfolgen. Weiters muss die Übermittlung von gesammelten Daten an Drittländer strengen Auflagen unterliegen. Wenn schon für das Sicherheitsgefühl in Grundrechte eingegriffen wird, dann muss der Eingriff möglichst gering sein, und die Rechte der Betroffenen müssen gestärkt werden.