Die wichtigsten Datenschutzbelange in Zusammenhang mit den Entwicklungen in der EU Politik 2007

Das Abkommen von Lissabon wurde im Dezember 2007 unterzeichnet. Ungeachtete der heftigen Kritik an diesem Abkommen wird das Papier, wenn es von allen Mitgliedsstaaten ratifiziert worden ist, zwei wichtige Verbesserungen für die EU und ihre Bürger herbeiführen. Erstens wird die Charta der Grundrechte der Europäischen Union Teil der Gemeinschaftsacquis werden, einschließlich der §7 (Respekt von Privat- und Familienleben) und §8 (Schutz von persönlichen Daten). Zweitens wird das Abkommen der EU den Zugang zur Europäischen Konvention für Menschenrechte ermöglichen und die EU Bürgern somit gegen die Verletzung ihrer Menschenrechte durch EU Institutionen schützen. Diese Verbesserung wäre äußerst willkommen, besonders – aber keineswegs nur – in Anbetracht der derzeitigen Unzulänglichkeit des Datenschutzes unter der dritten Säule (Justiz und Inneres). Aber 2007 hat im Hinblick auf die Entwicklungen bei der Privatsphäre und dem Schutz persönlicher Daten auf EU Ebene auch viele Sorgen bereitet. Neben dem SWIFT Skandal, bei dem der Zugriff der USA auf europäische Finanztransaktionen ermöglicht worden war, gab es die Google-Doubleclick Fusion, die derzeit von der Europäischen Kommission untersucht wird (wenn auch hauptsächlich im Hinblick auf Wettbewerb), fortwährende Sorgen mit der Vorratsdatenspeicherung durch Suchmaschinen, besonders Google, auch wenn die Firma leichte Kürzungen bei der Speicherungsfrist angekündigt hat, und die Entwicklung der RFIDi-Chips; die großen Probleme mit der EU-Politik in 2007 drehen sich um Fluggastdaten, die Weitergabe von biometrischen und genetischen Daten und das immer noch unzulängliche Level des Datenschutzes unter der dritten Säule.

„Alle Regierungen haben die Pflicht, ihre Bürger vor der terroristischen Bedrohung zu schützen, aber die Methode sollte legal, intelligent und effektiv sein“, sagte der Generalsekretär des Europarats am Datenschutztag. „Ich mache mir Sorgen, dass einige der aktuellen Vorkehrungen für den Austausch von Daten, die unter Druck der US-Regierung getroffen worden sind, diesen Kriterien nicht entsprechen“, fügte er passenderweise hinzu.

a. Fluggastdaten (PNRi)
Im Juni 2007 wurde ein entgültiges Abkommen über die Fluggastdaten zwischen der EU und den USA geschlossen, vier Jahre nachdem die USA und die Europäische Kommission – illegalerweise – zugestimmt hatten, den US-amerikanischen Zollbeamten den direkten Zugriff auf die persönlichen Daten der Passagiere zu genehmigen, die in der USA landen, aus der USA ausfliegen oder Zwischenstopps in den USA einlegen. Um an diesen Punkt zu gelangen, waren viele Protestkampagnen nötig, wie die von EDRi organisierte Aktion im Jahr 2003 sowie scharfe Kritik von Seiten des Europäischen Parlaments und der Arbeitsgruppe Artikel 29 und die Annullierung durch den Europäischen Gerichtshof. Das Abkommen verringert den Datensatz von 34 auf 19 Stück einschließlich Namen, Kontaktinformationen, Zahlungseinzelheiten, Reisebüro, Reiseroute und Gepäcksinformationen, jedoch werden sensible Daten wie Volkszugehörigkeit ausgeklammert. Die Daten können für eine Gesamtspanne von 15 Jahren gespeichert werden. Es wurde geltend gemacht, dass Europäische Bürger nun auch vom US Gesetz für Privatsphäre abgedeckt werden, was bedeutet, dass sie ihre Rechte vor US Gerichten einfordern können. Allerdings hat die US Regierung nur drei Monate nach diesem Abkommen einige Änderungen an dem Gesetz für Privatsphäre bekannt gegeben, die Ausnahmen bei Antworten auf Anfragen über persönliche Informationen an das Heimatschutzministerium und das Automated Tareting System angehen. Das Abkommen wurde vom EU Parlament, der Arbeitsgruppe Artikel 29 und dem Europäischen Datenbeauftragten heftigst kritisiert.

Später im Jahr kündigte die EU ihr Projekt zur Schaffung ihres eigenen Europäischen PNRi Systems an. Der Plan, der im November von der Europäischen Kommission eingereicht wurde, ähnelt dem Abkommen zwischen der EU und der USA. Die EU wird 19 persönliche Datensätze über Passagiere speichern müssen, die in den EU Raum ein- oder ausreisen, einschließlich Telefonnummer, E-Mail-Adresse, Reisebüro, vollständige Reiseroute, Abrechnungen und Gepäcksinformationen. Die Informationen werden in Analyseeinheiten gespeichert, durch die eine „Risikoeinschätzung“ für jeden Passagier vornehmen wird, die in der Folge zu Befragungen des Passagiers oder sogar zu Einreiseverweigerungen führen können. Die Daten sollen für fünf Jahre gespeichert werden und landen dann für weitere acht Jahre in einer ruhenden Datenbank. Dieser Plan wurde ebenfalls bereits vom Parlament kritisiert und auch von der Arbeitsgruppe Artikel 29 und dem Europäischen Datenschutzbeauftragten, aber im Jahr 2008 wird sich diesbezüglich dennoch sicher noch viel tun. Einige Mitgliedsstaaten haben ähnliche Maßnahmen schon auf nationaler Ebene eingeführt.

b. Weitergabe biometrischer und genetischer Daten

Das Europäische Visa Informationssystem (VIS) wird wahrscheinlich zur größten biometrischen Datenbank der Welt werden. VIS wird Informationen über Besuchsvisa oder Transitbewilligungen durch den Schengenraum von bis zu 70 Millionen Personen speichern. Diese Daten werden biometrisch sein (Lichtbild unf Fingerabdrücke) und schriftlich, wie Name, Adresse und Beruf der Antragsteller, Datum und Ort des Antrags sowie jede Entscheidung, die vom zuständigen Mitgliedsstaat bezüglich Genehmigung, Ablehnung, Annullierung, Aufhebung oder Verlängerung von Visa getroffen wird. Bürger aus mehr als 100 Ländern benötigen ein Visa, um in die EU einreisen zu dürfen. In den letzten Debatten im Jahr 2007 wurde praktisch nur diskutiert, welches das Höchstalter für die Ausnahme von Kindern bei der Verwendung der 10 Fingerabdrücke sein sollte: Das Parlament sagt 12 Jahre, der Rat möchte 5 Jahre als Höchstalter durchsetzen.

Die EU möchte jedoch auch biometrische Daten von EU Bürgern und Einwohnern speichern und weitergeben, weit mehr als die Daten, die bereits durch biometrischen Pässe und Personalausweise bekannt sind. Im Juni 2007 wurde beschlossen, dass das Prüm Abkommen, das ursprünglich von 7 EU Ländern im Mai 2005 unterzeichnet worden war, ohne maßgebliche Änderungen in die EU Gesetzgebung aufgenommen werden wird. Diese Entscheidung führt zum größten paneuropäischen Netzwerk von polizeilichen Datenbanken, durch das DNA-Profile, Fingerabdrücke und andere persönliche und nicht-persönliche Daten gespeichert und weitergegeben werden können. Die Empfehlung des Europäischen Datenschutzbeauftragten, der im Dezember 2007 eine Stellungnahmen über die Implementierung des Abkommens veröffentlicht hat, wurde bei dem Abkommen nicht in Betracht gezogen.

c. Unzureichender Datenschutz unter der dritten Säule
Während die Daten, die von der Polizei und gerichtlichen Behörden gespeichert und weitergegeben werden zunehmen, werden auch angemessene Regeln zum Schutz persönlicher Daten unter der dritten Säule immer dringender notwendig. Ein Entwurf der Rahmenentscheidung des Rates zum Schutz persönlicher Daten, die im Rahmen der polizeilichen und juristischen Zusammenarbeit bei Straffällen bearbeitet werden, wurde von der Europäischen Kommission schon im Oktober 2005 eingereicht, ist aber immer noch nicht beschlossen, obwohl der Europäische Datenschutzbeauftragte seine Meinung schon wiederholt geäußert hat. Dem Europäischen Datenschutzbeauftragen zufolge bietet der Entwurf vom Dezember 2007 nur minimale Harmonisierungen und Sicherheiten, und wäre nur auf persönliche Daten anwendbar, die an andere Mitgliedsstaaten weitergegeben werden und nicht auf die Verarbeitung innerhalb der Staaten.

EDRi-Seite zu Biometrie

EDRi-Seite zu PNR

EDRi-Seite zu Privatsphäre

EDPS Opinions

Artikel 29 Arbeitsgruppe

(Beitrag von Meryem Marzouki, EDRI Mitglied IRIS - Frankreich)