Die 2016 verabschiedete EU-Richtlinie über Passagierdatensätze (PNR) sieht vor, dass Reisedienstleister umfangreiche Informationen über ihre Kund*innen erheben und nach einer Buchung sowie beim Boarding an die zuständigen Behörden eines EU-Mitgliedstaates übermitteln. Dies ist jedoch mit EU-Recht unvereinbar: Im Juni hat der Europäische Gerichtshof (EuGH) in einem Vorabentscheidungsverfahren geurteilt, dass es sich dabei um eine Vorratsdatenspeicherung handelt, die auf das „absolut Notwendige“ beschränkt werden muss.[1] Geklagt hatte die belgische Bürgerrechtsorganisation Ligue des droits humains. Anstatt jedoch weniger Daten von Reisenden zu sammeln und zu verarbeiten, überlegen die Mitgliedstaaten, wie das Urteil umgangen werden kann. Das geht aus einem Dokument des tschechischen Ratsvorsitzes mit dem Titel „Bessere Umsetzung des Urteils in der Rechtssache C-817/19 – Ideen für Diskussion“ hervor.[2]
Die PNR-Daten können bis zu 60 Einzeldaten umfassen – darunter Anschrift, Telefonnummer, Reiseroute, gebuchter Sitzplatz und Essensbestellung sowie Hotelreservierungen und Mitreisende. Empfängerin der PNR-Daten ist eine nationale Fluggastdatenzentralstelle, die jeder EU-Mitgliedstaat einrichten muss. In Deutschland ist diese Stelle beim Bundeskriminalamt angesiedelt.
Mit dem EuGH-Urteil wird auch die Ausweitung der PNR-Richtlinie auf innereuropäische Flüge kritisiert. In dem „Diskussionspapier“ schlägt der Ratsvorsitz dazu vor, dass „alle oder die meisten Mitgliedstaaten“ gleichlautend eine „reale und gegenwärtige“ terroristische Bedrohungslage erklären könnten. Dies würde es erlauben, die Richtlinie auch künftig innereuropäisch anzuwenden. Denkbar wäre auch, dass sich die nationalen PNR-Zentralstellen austauschen, welche EU-Flüge, Flughäfen oder Flugmuster sie als besonders risikobehaftet einschätzen. Damit könnte der vom Gericht geforderten „wirksamen Begrenzung“ der Verarbeitung von PNR-Daten entsprochen werden.