EUROPÄISCHE KOMMISSION

Brüssel, den 19.1.2017

COM(2017) 29 final

BERICHT DER KOMMISSION AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT

über die gemeinsame Überprüfung der Umsetzung des Abkommens zwischen der Europäischen Union und den Vereinigten Staaten von Amerika über die Verarbeitung von Fluggastdatensätzen und deren Übermittlung an das United States Department of Homeland Security

{SWD(2017) 14 final}
{SWD(2017) 20 final}

BERICHT DER KOMMISSION AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT

über die gemeinsame Überprüfung der Umsetzung des Abkommens zwischen der Europäischen Union und den Vereinigten Staaten von Amerika über die Verarbeitung von Fluggastdatensätzen und deren Übermittlung an das United States Department of Homeland Security

Einleitung

Das geltende Abkommen zwischen den Vereinigten Staaten (USA) und der Europäischen Union (EU) über die Verwendung von Fluggastdatensätzen (PNR) und deren Übermittlung an das United States Department of Homeland Security (DHS) ist am 1. Juli 2012 in Kraft getreten.

Das Abkommen sieht vor, dass ein Jahr nach seinem Inkrafttreten eine erste gemeinsame Überprüfung vorgenommen wird und anschließend, wie gemeinsam vereinbart, regelmäßige Überprüfungen stattfinden. Diese gemeinsame Überprüfung erfolgte am 1. und 2. Juli 2015 in Washington; die Vorbereitungen für die gemeinsame Überprüfung und den anschließenden Bericht sind am Ende dieses Berichts angeführt. Ihr Schwerpunkt lag vor allem darauf, die Fortschritte bei den Empfehlungen zur vorangegangenen Überprüfung aus dem Jahr 2013 1 nachzuverfolgen; weitere Punkte waren die Umsetzung des Abkommens, insbesondere in Bezug auf die Methode der Übermittlung von PNR-Daten sowie die Weitergabe von PNR-Daten, wie in den einschlägigen Artikeln des Abkommens ausgeführt.

Die gemeinsame Überprüfung erfolgt gemäß der von den Teams der EU und den USA für die erste gemeinsame Überprüfung des PNR-Abkommens von 2004, die im September 2005 stattfand, und für die gemeinsame Überprüfung von 2013 entwickelten Methodik. Den ersten Teil bildete dabei ein Fragebogen, den die Europäische Kommission vor der gemeinsamen Überprüfung an das DHS richtete.

Die Arbeitsunterlage der Kommissionsdienststellen (SWD) zu diesem Bericht enthält fünf Kapitel. Kapitel 1 enthält eine Übersicht über den Hintergrund der Überprüfung und den Zweck sowie die verfahrenstechnischen Aspekte des Unterfangens. Kapitel 2 gibt einen Überblick über den Stand der Umsetzung der Empfehlungen aus der Überprüfung 2013. In Kapitel 3 werden die wichtigsten Ergebnisse der gemeinsamen Überprüfung 2015 und die Punkte dargestellt, die das DHS weiter zu behandeln hat. Kapitel 4 gibt einen Überblick über die Empfehlungen aus der Überprüfung 2015. In Kapitel 5 werden allgemeine Schlussfolgerungen gezogen. Die SWD wird schließlich durch einen Anhang ergänzt, der den Fragebogen und die entsprechenden Antworten des DHS enthält.

Umsetzung der Empfehlungen von 2013

Alle Empfehlungen der Überprüfung aus dem Jahr 2013 sind entweder bereits abgeschlossen oder es wurden Verbesserungen vorgenommen und die Arbeiten sind im Gange.

Infolge einer allgemeinen Empfehlung aus der Überprüfung von 2013 nahm das DHS-Privacy Office eine interne „Überprüfung der Einhaltung der Datenschutzbestimmungen“ 2 bei der Umsetzung des Abkommens durch das DHS vor der gemeinsamen Überprüfung von 2015 vor. Dabei sollte festgestellt werden, ob das DHS in Übereinstimmung mit den Normen und Angaben im Abkommen mit der EU handelt. Der Bericht wurde am 26. Juni 2015 veröffentlicht.

Der Sechsmonats-Zeitraum, nach dem die PNR-Daten gemäß Artikel 8 Absatz 1 des Abkommens anonymisiert werden, beginnt jetzt mit dem Tag zu laufen, an dem die PNR-Daten in das amerikanische Überwachungsprogramm „Automated Targeting System“ (ATS) geladen werden (sogenanntes ATS-Ladedatum), d.h. ab dem ersten Tag, an dem die Daten im ATS gespeichert werden, anstelle der bisherigen Praxis, die die Anwendung des Sechs-Monats-Zeitraums (bis zur letzten ATS-Aktualisierung der PNR-Daten) verzögert hat.

In der Überprüfung von 2013 wird auch empfohlen, so schnell wie möglich, und in jedem Fall bis zum 1. Juli 2014 (wie in Artikel 15 Absatz 4 des Abkommens vorgesehen), vollständig auf die „Push“-Methode umzustellen. Zum Zeitpunkt der Überprüfung im Jahr 2015 stellten vier Fluggesellschaften PNR-Daten noch nicht über die „Push“-Methode zur Verfügung; das DHS unterstützte sie dabei, die „Push“-Methode zu entwickeln.

In der Überprüfung von 2013 wird empfohlen, dass das DHS gemäß Artikel 18 das Verfahren zur Unterrichtung der EU-Mitgliedstaaten in Fällen verbessern solle, in denen ein Austausch von EU-PNR-Daten zwischen dem DHS und Drittländern erfolgt. Ein Mitarbeiter des amerikanischen Zoll- und Grenzschutzes wurde daraufhin im Juli 2014 als Verbindungsbeamter zu Europol entsandt. Identifiziert der Verbindungsbeamte einen bestimmten Passagier mit Bezug zu einem Mitgliedstaat, so teilt er diese Informationen in einem Bericht den Vertretern des Mitgliedstaats mit.

Ferner wurden Fortschritte bei der Umsetzung von Artikel 13 (Rechtsbehelfe für Einzelpersonen) erzielt. In der Überprüfung von 2013 wurde empfohlen, dass die den Fluggästen nach dem Recht der Vereinigten Staaten offenstehenden Rechtsbehelfsverfahren transparenter gemacht werden sollten. Es ist positiv, dass mit dem Traveler Redress Inquiry Program (TRIP) eine zentrale Anlaufstelle für die Öffentlichkeit vorhanden ist; dennoch sollten die USA weiterhin alle erforderlichen Maßnahmen prüfen, um sicherzustellen, dass alle Fluggäste über die Rechtsbehelfsverfahren informiert werden.

Empfehlungen aus der Überprüfung von 2015

Das EU-Team stellte weiterhin fest, dass die Umsetzung des Abkommens durch das DHS den im Abkommen festgelegten Bedingungen entspricht. Das DHS kommt seinen Verpflichtungen in Bezug auf die Zugangsrechte für Fluggäste nach und hat ein Kontrollsystem zur Vermeidung rechtswidriger Diskriminierung eingeführt. Die Kommission begrüßt auch die beständigen Bemühungen zur Sicherstellung der Gegenseitigkeit und des proaktiven Austauschs von aus PNR-Daten abgeleiteten analytischen Informationen mit den Mitgliedstaaten und gegebenenfalls mit Europol und Eurojust. Die Bestimmungen hinsichtlich des Schwärzens und Löschens sensibler Daten werden eingehalten, und das DHS hat erklärt, dass es für operative Zwecke nie auf sensible Daten zugegriffen hat.

Das DHS kommt seinen Verpflichtungen in Bezug auf die Rechte von Fluggästen weiterhin nach, insbesondere, was die ordnungsgemäße Unterrichtung der Fluggäste und die Verwirklichung des ausnahmslosen Rechts auf Zugang – wie in den Artikeln 11, 12 und 13 festgelegt – betrifft. Die Verabschiedung des „Judicial Redress Act“ im Jahr 2015 ist eine begrüßenswerte Entwicklung seit der letzten gemeinsamen Überprüfung.

Der Austausch von Daten mit anderen nationalen Agenturen durch das DHS entspricht dem Abkommen. Er erfolgt von Fall zu Fall, auf der Grundlage schriftlicher Vereinbarungen und wird protokolliert. Der Austausch von Daten mit Drittländern wird ebenfalls strikt ausgelegt und steht auch im Einklang mit dem Abkommen. Die USA wenden dieselben Datenschutzbestimmungen auf alle erworbenen und verarbeiteten PNR-Daten an, unabhängig davon, ob sie von innerhalb oder außerhalb der EU stammen.

Trotz der positiven Durchführung des Abkommens sind allerdings weiterhin noch einige Verbesserungen erforderlich: Artikel 2 sieht vor, dass sich der Anwendungsbereich des Abkommens auf Flüge mit einer Verbindung zu den USA erstreckt. Die Verwendung eines Vorrang-Mechanismus für den Zugriff auf PNR-Daten ohne Verbindung zu den USA unterliegt einer Reihe von Voraussetzungen und spezieller Aufsicht. Die Zahl der Fälle, die seit der Überprüfung von 2013 mit „vorrangigem Interesse“ begründet wurde, ist angestiegen, und das DHS muss dies ausführlich begründen, um besser zu verstehen, warum diese Fälle auftreten.

In Bezug auf Artikel 5 ist die Anzahl der Personen mit Zugang zu PNR-Daten seit der vorletzten Überprüfung von 2013 gestiegen. Das EU-Team ist zwar mit den bestehenden Kontrollmechanismen zufrieden, das DHS wird jedoch ersucht, die Zahl der Mitarbeiter mit Zugang zu PNR-Daten weiterhin zu überwachen, um sicherzustellen, dass nur diejenigen, die aus betrieblichen Gründen Zugang zu diesen Daten benötigen, diesen auch erhalten.

In Bezug auf Artikel 6 wurde während des Zeitraums, den diese Überprüfung umfasst, auf keine sensiblen Daten zugegriffen. Nach den Vorschriften des DHS übermittelt das DHS der Kommission innerhalb von 48 Stunden entsprechende Informationen, sollte von DHS-Personal auf sensible Daten zugegriffen werden. Es wird empfohlen, dass das DHS die Liste der sensiblen Datencodes regelmäßig überprüft, um sicherzustellen, dass alle sensiblen Daten automatisch vom System blockiert werden. Eventuelle Änderungen sollten der Kommission mitgeteilt werden.

Das DHS verwendet automatisierte Verfahren zur Schwärzung aller Datenelemente, die die Feststellung der Identität eines Fluggasts, auf den sich die PNR-Daten nach den ersten sechs Monaten beziehen, ermöglichen könnten. Dies stimmt mit Artikel 8 des Abkommens überein. Die Überprüfung ergab jedoch, dass die Zahl der PNR-Daten im Zusammenhang mit Strafverfolgungsereignissen, die nicht der Unkenntlichmachung unterliegen, hoch ist. Dem DHS wird empfohlen, dies weiter zu untersuchen, um zu verstehen, warum die Zahl hoch ist, und außerdem sicherzustellen, dass nicht mehr benötigte PNR-Daten sobald wie möglich unkenntlich gemacht, gelöscht oder anonymisiert werden. Es ist zu begrüßen, dass das DHS der Empfehlung der Überprüfung von 2013 gefolgt ist und sicherstellt, dass ein DHS-Nutzer nun rechtfertigen muss, warum PNR-Daten nicht anonymisiert sind.

Das DHS erfüllt Artikel 11 des Abkommens, indem es jedem Fluggast den Zugang zu seinen Daten gestattet. Die Beantwortungszeiten sind seit der letzten Überprüfung im Jahr 2013 gestiegen, und das DHS sollte feststellen, ob diese Zeiten verkürzt werden könnten.

Gemäß Artikel 15 unterstützt das DHS alle Fluggesellschaften, die dies noch nicht getan haben, weiterhin dabei, die „Push“-Methode zu entwickeln. Auch wenn dies nicht zur Überprüfung gehörte, ist es zu begrüßen, dass das DHS die Anwendung des „Push“-Verfahrens seither auf alle Fluggesellschaften, die zum Zeitpunkt der gemeinsamen Überprüfung in den Geltungsbereich des Abkommens fielen, ausgeweitet hat.

Im Zusammenhang mit den Artikeln 16 und 18 sollte das DHS weitere Informationen darüber vorlegen, welche Daten nach diesen Bestimmungen genau erhoben werden und in der Lage sein, weitere Informationen über Daten zu liefern, die anderen US-Behörden sowie Polizei-, Strafverfolgungs- und Justizbehörden innerhalb der EU übermittelt wurden.

Schließlich sollte das DHS für künftige Überprüfungen und die Evaluierung gewährleisten, dass alle Fakten und Zahlen in einer Weise erhoben werden, die direkte Vergleiche ermöglicht.

Zur Erstellung dieses Berichts hat das EU-Team Informationen, die in den schriftlichen Antworten des DHS auf den Fragebogen der EU enthalten waren, Informationen aus seinen Gesprächen mit dem DHS-Personal, Informationen aus den genannten Berichten des DHS-Privacy Office sowie Informationen aus anderen öffentlich verfügbaren Dokumenten verwendet.

Vorbereitungen für die gemeinsame Überprüfung und den anschließenden Bericht

Die Kommission übermittelte am 8. Mai 2015 im Vorfeld der gemeinsamen Überprüfung einen Fragebogen an das DHS. Der Fragebogen enthielt spezifische Fragen im Zusammenhang mit der Umsetzung des Abkommens durch das DHS. Das DHS übermittelte am 12. Juni 2015 schriftliche Antworten auf den Fragebogen.

Darüber hinaus kontaktierte die Kommission alle Mitgliedstaaten, um festzustellen, ob sie in Bezug auf PNR-Daten Kontakt mit den Vereinigten Staaten hatten.

Das EU-Team führte die gemeinsame Überprüfung am 1. und 2. Juli 2015 durch und erhielt Zugang zu den DHS-Räumlichkeiten. Sie besuchte das DHS National Targeting Center (NTC) und erhielt die Möglichkeit, das Zentrum in Betrieb zu sehen.

Das DHS-Privacy Office veröffentlichte seinen Bericht über die Verwendung von Fluggastdatensätzen und deren Übermittlung zwischen der EU und den USA am 26. Juni 2015. Leider hatte das Team der EU damit nicht genügend Zeit, den Bericht vor der Überprüfungsmission vollständig zu analysieren. Das EU-Team analysierte den Bericht des Privacy Office anschließend und stellte Folgefragen, die zur Fertigstellung des Berichts über die gemeinsame Überprüfung beitragen sollten.

Im Anschluss an die gemeinsame Überprüfung übermittelte das DHS zusätzliche schriftliche Informationen, die vom EU-Team während des Besuchs erbeten wurden. Diese Informationen wurden als Ergänzung bei der Ausarbeitung dieses Berichts verwendet.

Das DHS bestätigte am 25. September 2015, dass alle Fluggesellschaften, die im Rahmen dieses Abkommens PNR-Daten übermitteln, die Fähigkeit zur Nutzung der „Push“-Methode bei der Übermittlung von PNR-Daten an die USA entwickelt haben.

Die Kommission legte den anderen Mitgliedern des EU-Teams am 21. Januar 2016 einen Berichtsentwurf vor.

Nach Einarbeitung der Anmerkungen der anderen Mitglieder des EU-Teams in den Berichtsentwurf legte die Kommission den Vereinigten Staaten bei einer Sitzung hochrangiger Beamter in Washington D.C. am 17. März 2016 eine Kopie des Berichtsentwurfs vor. Dies gab dem DHS die Möglichkeit, etwaige Fehler oder Informationen, die nicht offengelegt werden konnten, festzustellen und zu kommentieren.

Das DHS übermittelte daraufhin eine aktualisierte Fassung des Fragebogens und informelle Bemerkungen zum Berichtsentwurf, die vom EU-Team am 9. Juni 2016 erörtert wurden.

Weitere Beratungen über den Berichtsentwurf fanden zwischen der Kommission und dem DHS statt, z. B. bei einer Sitzung auf der Ebene hoher Beamter am 14. Juli 2016 in Washington D.C. Die Kommission teilte dem DHS im August 2016 mit, dass es zu dem Bericht eine schriftliche Stellungnahme abgeben könne, die nach Artikel 23 Absatz 3 des Abkommens dem Bericht beigefügt werde, falls es mit bestimmten Passagen nicht einverstanden sei oder zusätzliche Anmerkungen machen wolle.

(1)

     Bericht der Kommission an das Europäische Parlament und den Rat und Arbeitsunterlage der Kommissionsdienststellen über die gemeinsame Überprüfung der Umsetzung des Abkommens zwischen der Europäischen Union und den Vereinigten Staaten von Amerika über die Verarbeitung von Fluggastdatensätzen (PNR) und deren Übermittlung an das United States Department of Homeland Security, 8./9. Juli 2013.

(2)

     Überprüfung der Einhaltung der Datenschutzbestimmungen – „Bericht über die Verwendung von Fluggastdatensätzen und deren Übermittlung zwischen der Europäischen Union und den Vereinigten Staaten“, DHS Privacy Office, 26. Juni 2015.

http://www.dhs.gov/sites/default/files/publications/privacy_pcr_pnr_review_06262015.pdf.