Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom 27. April 2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität

1 Diese Richtlinie regelt a) die Übermittlung von Fluggastdatensätzen (PNR-Daten) zu Fluggästen von Drittstaatsflügen durch Fluggesellschaften; b) die Verarbeitung von Daten gemäß Buchstabe a, unter anderem ihre Erhebung, Verwendung und Speicherung durch Mitgliedstaaten sowie den Austausch dieser Daten zwischen Mitgliedstaaten.

2 Die nach Maßgabe dieser Richtlinie erhobenen PNR-Daten dürfen ausschließlich zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität gemäß Artikel 6 Absatz 2 Buchstaben a, b und c verarbeitet werden.

1 Ein Mitgliedstaat, der entscheidet, diese Richtlinie auf Flüge innerhalb der Europäischen Union (EU-Flüge) anzuwenden, teilt dies der Kommission schriftlich mit. Ein Mitgliedstaat kann eine solche Mitteilung jederzeit machen oder widerrufen. Die Kommission veröffentlicht diese Mitteilung und eventuelle Widerrufe derselben im Amtsblatt der Europäischen Union.

2 Im Falle einer Mitteilung gemäß Absatz 1 gelten alle Bestimmungen dieser Richtlinie für EU-Flüge so, als handele es sich um Drittstaatsflüge, und für PNR-Daten zu EU-Flügen so, als handele es sich um PNR-Daten zu Drittstaatsflügen.

3 Ein Mitgliedstaat kann beschließen, diese Richtlinie nur auf ausgewählte EU-Flüge anzuwenden. Der Mitgliedstaat wählt dabei diejenigen Flüge aus, die er für die Verfolgung der Ziele dieser Richtlinie für erforderlich hält. Der Mitgliedstaat kann jederzeit eine Änderung der von ihm ausgewählten EU-Flüge beschließen.

Im Sinne dieser Richtlinie bezeichnet der Ausdruck 1. „Fluggesellschaft“ ein Luftfahrtunternehmen mit einer gültigen Betriebsgenehmigung oder einer gleichwertigen Genehmigung, die es ihm gestattet, Fluggäste auf dem Luftweg zu befördern; 2. „Drittstaatsflug“ jeden Linien- oder Gelegenheitsflug einer Fluggesellschaft, der von einem Drittstaat aus startet und das Hoheitsgebiet eines Mitgliedstaats zum Ziel hat, oder der vom Hoheitsgebiet eines Mitgliedstaats aus startet und einen Drittstaat zum Ziel hat, wobei in beiden Fällen Flüge mit Zwischenlandungen im Hoheitsgebiet von Mitgliedstaaten oder Drittstaaten eingeschlossen sind; 3. „EU-Flug“ jeden Linien- oder Gelegenheitsflug einer Fluggesellschaft, der vom Hoheitsgebiet eines Mitgliedstaats aus startet und das Hoheitsgebiet eines oder mehrerer anderer Mitgliedstaaten zum Ziel hat, ohne Zwischenlandungen im Hoheitsgebiet eines Drittstaats; 4. „Fluggast“ jede Person, einschließlich Transfer- oder Transitfluggästen, mit Ausnahme der Besatzungsmitglieder, die mit Zustimmung der Fluggesellschaft in einem Luftfahrzeug befördert wird oder befördert werden soll, wobei diese Zustimmung durch die Eintragung der Person in die Fluggastliste belegt wird; 5. „Fluggastdatensatz“ oder „PNR-Daten“ einen Datensatz mit den für die Reise notwendigen Angaben zu jedem einzelnen Fluggast, die die Bearbeitung und Überprüfung der von einer Person oder in ihrem Namen getätigten Reservierungen für jede Reise durch die buchenden und beteiligten Fluggesellschaften ermöglichen, unabhängig davon, ob er in Buchungssystemen, Abfertigungssystemen (Departure Control Systems) zum Einchecken von Passagieren auf Flüge, oder gleichwertigen Systemen, die die gleichen Funktionen bieten, enthalten ist; 6. „Buchungssysteme“ das interne System einer Fluggesellschaft, in dem die PNR-Daten für die Bearbeitung von Buchungen erhoben werden; 7. „Push-Methode“ das Verfahren, bei dem die Fluggesellschaft die in Anhang I aufgeführten PNR-Daten in die Datenbank der anfragenden Behörde übermittelt; 8. „terroristische Straftaten“ die nach nationalem Recht strafbaren Handlungen im Sinne der Artikel 1 bis 4 des Rahmenbeschlusses 2002/475/JI; 9. „schwere Kriminalität“ die in Anhang II aufgeführten strafbaren Handlungen, die nach dem nationalen Recht eines Mitgliedstaats mit einer Freiheitsstrafe oder einer freiheitsentziehenden Maßregel der Sicherung im Höchstmaß von mindestens drei Jahren bedroht sind; 10. „Depersonalisierung durch Unkenntlichmachung von Datenelementen“ die Vorgehensweise, mit der diejenigen Datenelemente, mit denen die Identität des Fluggastes unmittelbar festgestellt werden könnte, für einen Nutzer unsichtbar gemacht werden.

1 Jeder Mitgliedstaat errichtet oder benennt eine für die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von terroristischen Straftaten und schwerer Kriminalität zuständige Behörde oder eine Abteilung einer solchen Behörde, die als seine PNR-Zentralstelle handelt.

2 Die PNR-Zentralstelle ist verantwortlich für a) die Erhebung der PNR-Daten bei Fluggesellschaften, für die Speicherung und Verarbeitung dieser Daten sowie die Übermittlung dieser Daten oder der Ergebnisse ihrer Verarbeitung an die zuständigen Behörden nach Artikel 7; b) den Austausch sowohl von PNR-Daten als auch der Ergebnisse der Verarbeitung dieser Daten mit den PNR-Zentralstellen anderer Mitgliedstaaten und mit Europol gemäß den Artikeln 9 und 10.

3 Das Personal der PNR-Zentralstelle kann aus Mitarbeitern zuständiger Behörden bestehen, die zu diesem Zweck abgeordnet wurden. Die Mitgliedstaaten stellen den PNR-Zentralstellen angemessene Ressourcen zur Verfügung, damit sie ihre Aufgaben erfüllen können.

4 Zwei oder mehr Mitgliedstaaten (die beteiligten Mitgliedstaaten) können gemeinsam eine einzige Behörde errichten oder benennen, die als ihre PNR-Zentralstelle handelt. Diese PNR-Zentralstelle hat ihren Sitz in einem der beteiligten Mitgliedstaaten und gilt als nationale PNR-Zentralstelle aller beteiligten Mitgliedstaaten. Die beteiligten Mitgliedstaaten einigen sich gemeinsam unter Beachtung der Anforderungen dieser Richtlinie über die genauen Modalitäten, unter denen die PNR-Zentralstelle ihrer Tätigkeit nachgeht.

5 Innerhalb eines Monats nach der Errichtung seiner PNR-Zentralstelle teilt jeder Mitgliedstaat dies der Kommission mit und kann seine Mitteilung jederzeit ändern. Die Kommission veröffentlicht die Mitteilung sowie alle nachfolgenden Änderungen im Amtsblatt der Europäischen Union.

1 Die PNR-Zentralstelle ernennt einen Datenschutzbeauftragten, der für die Überwachung der Verarbeitung der PNR-Daten und die Umsetzung der maßgeblichen Sicherheitsvorkehrungen zuständig ist.

2 Die Mitgliedstaaten stellen den Datenschutzbeauftragten die Mittel zur Verfügung, damit sie ihre Pflichten und Aufgaben gemäß diesem Artikel wirksam und unabhängig wahrnehmen können.

3 Die Mitgliedstaaten sorgen dafür, dass eine betroffene Person das Recht hat, den Datenschutzbeauftragten als zentrale Kontaktstelle im Zusammenhang mit allen Fragen bezüglich der Verarbeitung der PNR-Daten der betroffenen Person zu kontaktieren.

1 Die von den Fluggesellschaften übermittelten PNR-Daten werden von der PNR-Zentralstelle des betreffenden Mitgliedstaats gemäß Artikel 8 erhoben. Wenn die von Fluggesellschaften übermittelten PNR-Daten andere als die in Anhang I genannten Daten beinhalten, werden diese Daten von der PNR-Zentralstelle unmittelbar nach ihrem Eingang dauerhaft gelöscht.

2 Die PNR-Zentralstelle verarbeitet PNR-Daten ausschließlich zu folgenden Zwecken: a) Überprüfung von Fluggästen vor ihrer planmäßigen Ankunft in einem Mitgliedstaat oder vor ihrem Abflug von einem Mitgliedstaat, um diejenigen Personen zu ermitteln, die von den zuständigen Behörden gemäß Artikel 7 und gegebenenfalls — im Einklang mit Artikel 10 — von Europol genauer überprüft werden müssen, da sie möglicherweise an einer terroristischen Straftat oder an schwerer Kriminalität beteiligt sind; b) im Einzelfall Beantwortung von auf einer hinreichenden Grundlage gebührend begründeten Anfragen zuständiger Behörden hinsichtlich der Zurverfügungstellung und Verarbeitung von PNR-Daten in besonderen Fällen zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten oder schwerer Kriminalität, und der Zurverfügungstellung der Ergebnisse dieser Verarbeitung an die zuständigen Behörden oder gegebenenfalls an Europol, und c) Analyse von PNR-Daten zwecks Aktualisierung der Kriterien oder Aufstellung neuer Kriterien zur Verwendung in gemäß Absatz 3 Buchstabe b durchgeführten Überprüfungen, die der Ermittlung von Personen gelten, die möglicherweise an einer terroristischen Straftat oder an schwerer Kriminalität beteiligt sind.

3 Bei der Durchführung der in Absatz 2 Buchstabe a genannten Überprüfungen darf die PNR-Zentralstelle a) die PNR-Daten mit Datenbanken, die zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität maßgeblich sind, einschließlich Datenbanken betreffend Personen oder Gegenstände, nach denen gefahndet wird oder die Gegenstand einer Ausschreibung sind, unter Einhaltung der für solche Datenbanken einschlägigen nationalen, internationalen und Unionsvorschriften abgleichen; oder b) die PNR-Daten anhand im Voraus festgelegter Kriterien abgleichen.

4 Die Überprüfung von Fluggästen vor ihrer planmäßigen Ankunft in einem Mitgliedstaat oder vor ihrem Abflug von einem Mitgliedstaat anhand im Voraus festgelegter Kriterien gemäß Absatz 3 Buchstabe b erfolgt in nichtdiskriminierender Weise. Diese im Voraus festgelegten Kriterien müssen zielgerichtet, verhältnismäßig und bestimmt sein. Die Mitgliedstaaten stellen sicher, dass diese Kriterien von der PNR-Zentralstelle aufgestellt und von ihr in Zusammenarbeit mit den in Artikel 7 genannten zuständigen Behörden regelmäßig überprüft werden. Die rassische oder ethnische Herkunft, die politischen Meinungen, die religiösen oder weltanschaulichen Überzeugungen, die Mitgliedschaft in einer Gewerkschaft, der Gesundheitszustand, das Sexualleben oder die sexuelle Orientierung einer Person dürfen unter keinen Umständen als Grundlage für diese Kriterien dienen.

5 Die Mitgliedstaaten stellen sicher, dass jeder einzelne Treffer bei der automatisierten Verarbeitung von PNR-Daten nach Maßgabe von Absatz 2 Buchstabe a auf andere, nicht-automatisierte Art individuell überprüft wird, um zu klären, ob die zuständige Behörde gemäß Artikel 7 Maßnahmen im Einklang mit dem nationalen Recht ergreifen muss.

6 Die PNR-Zentralstelle eines Mitgliedstaats übermittelt die PNR-Daten von nach Absatz 2 Buchstabe a ermittelten Personen oder die Ergebnisse der Verarbeitung dieser Daten zur weiteren Überprüfung an die zuständigen Behörden gemäß Artikel 7 desselben Mitgliedstaats. Derartige Übermittlungen dürfen nur im Einzelfall erfolgen und im Fall einer automatisierten Verarbeitung der PNR-Daten nur nach einer individuellen Überprüfung auf andere, nicht-automatisierte Art.

7 Die Mitgliedstaaten stellen sicher, dass der Datenschutzbeauftragte Zugang zu sämtlichen von der PNR-Zentralstelle verarbeiteten Daten erhält. Wenn der Datenschutzbeauftragte der Auffassung ist, dass eine Verarbeitung von Daten nicht rechtmäßig war, kann er die Angelegenheit an die nationale Kontrollstelle verweisen.

8 Die Speicherung, Verarbeitung und Auswertung von PNR-Daten durch die PNR-Zentralstelle erfolgt ausschließlich an einem gesicherten Ort bzw. gesicherten Orten im Hoheitsgebiet der Mitgliedstaaten.

9 Das Recht zur Einreise von Personen, die im Hoheitsgebiet des betreffenden Mitgliedstaats gemäß der Richtlinie 2004/38/EG des Europäischen Parlaments und des Rates das Unionsrecht auf freien Personenverkehr genießen, darf von den Auswirkungen der Überprüfungen von Fluggästen gemäß Absatz 2 Buchstabe a dieses Artikels nicht beeinträchtigt werden. Darüber hinaus müssen, wenn Überprüfungen in Bezug auf EU-Flüge zwischen Mitgliedstaaten vorgenommen werden, für die die Verordnung (EG) Nr. 562/2006 des Europäischen Parlaments und des Rates gilt, die Auswirkungen solcher Überprüfungen mit der genannten Verordnung im Einklang stehen.

1 Jeder Mitgliedstaat erstellt eine Liste der zuständigen Behörden, die berechtigt sind, zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten oder schwerer Kriminalität PNR-Daten oder die Ergebnisse der Verarbeitung dieser Daten von den PNR-Zentralstellen anzufordern oder entgegenzunehmen, um sie einer weiteren Prüfung zu unterziehen oder um geeignete Maßnahmen zu veranlassen.

2 Die in Absatz 1 genannten Behörden sind diejenigen Behörden, die für die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von terroristischen Straftaten oder schwerer Kriminalität zuständig sind.

3 Für die Zwecke des Artikels 9 Absatz 3 übermittelt jeder Mitgliedstaat der Kommission bis zum 25. Mai 2017 die Liste seiner zuständigen Behörden und kann seine Mitteilung jederzeit ändern. Die Kommission veröffentlicht die Mitteilung und eventuelle Änderungen derselben im Amtsblatt der Europäischen Union.

4 Die PNR-Daten und die Ergebnisse der Verarbeitung dieser Daten, die aus der PNR-Zentralstelle eingehen, dürfen von den zuständigen Behörden der Mitgliedstaaten ausschließlich zum bestimmten Zweck der Verhütung, Aufdeckung, Ermittlung oder Verfolgung terroristischer Straftaten oder schwerer Kriminalität weiterverarbeitet werden.

5 Absatz 4 berührt nicht die Befugnisse der Strafverfolgungs- oder Justizbehörden der Mitgliedstaaten in Fällen, in denen im Verlauf von Strafverfolgungsmaßnahmen im Anschluss an eine derartige Verarbeitung andere Straftaten festgestellt werden oder sich Anhaltspunkte für solche Straftaten ergeben.

6 Die zuständigen Behörden treffen Entscheidungen, aus denen sich eine nachteilige Rechtsfolge oder ein sonstiger schwerwiegender Nachteil für die betroffene Person ergibt, unter keinen Umständen allein auf der Grundlage der automatisierten Verarbeitung der PNR-Daten. Ebenso wenig werden solche Entscheidungen aufgrund der rassischen oder ethnischen Herkunft, der politischen Meinungen, der religiösen oder weltanschaulichen Überzeugungen, der Mitgliedschaft in einer Gewerkschaft, des Gesundheitszustands, des Sexuallebens oder der sexuellen Orientierung einer Person getroffen.

1 Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um sicherzustellen, dass Fluggesellschaften mittels der „Push-Methode“ die in Anhang I aufgelisteten PNR-Daten an die Datenbank der PNR-Zentralstelle des Mitgliedstaats übermitteln, in dessen Hoheitsgebiet der betreffende Flug ankommt oder von dem er abgeht, soweit sie solche Daten im Rahmen ihrer normalen Geschäftstätigkeit bereits erhoben haben. Bei Flügen mit Code-Sharing zwischen mehreren Fluggesellschaften liegt die Pflicht zur Übermittlung der PNR-Daten aller Fluggäste des Fluges bei der Fluggesellschaft, die den Flug durchführt. Erfolgen auf einem Drittstaatsflug eine oder mehrere Zwischenlandungen auf Flughäfen der Mitgliedstaaten, so übermitteln die Fluggesellschaften die PNR-Daten aller Fluggäste an die PNR-Zentralstellen aller betreffenden Mitgliedstaaten. Dies gilt auch, wenn bei einem EU-Flug eine oder mehrere Zwischenlandungen auf den Flughäfen verschiedener Mitgliedstaaten erfolgen, jedoch nur in Bezug auf Mitgliedstaaten, die PNR-Daten zu EU-Flügen erheben.

2 Falls die Fluggesellschaften in Anhang I Nummer 18 aufgelistete erweiterte Fluggastdaten (API-Daten) erhoben haben, diese aber nicht auf die gleiche technische Weise wie andere PNR-Daten vorhalten, treffen die Mitgliedstaaten die erforderlichen Maßnahmen, um sicherzustellen, dass die Fluggesellschaften mittels der „Push-Methode“ auch diese Daten der PNR-Zentralstelle des in Absatz 1 genannten Mitgliedstaats übermitteln. Im Fall einer solchen Übermittlung gelten sämtliche Bestimmungen dieser Richtlinie in Bezug auf diese API-Daten.

3 Die Fluggesellschaften übermitteln die PNR-Daten auf elektronischem Wege unter Verwendung der nach dem Prüfverfahren des Artikels 17 Absatz 2 festzulegenden gemeinsamen Protokolle und unterstützten Datenformate oder bei technischen Störungen auf jede andere geeignete Weise, die ein angemessenes Datensicherheitsniveau gewährleistet, und zwar a) 24 bis 48 Stunden vor der planmäßigen Abflugzeit sowie b) sofort nach Abfertigungsschluss, d. h., unmittelbar nachdem sich die Fluggäste vor dem Start an Bord des Flugzeugs begeben haben und keine Fluggäste mehr an Bord kommen oder von Bord gehen können.

4 Die Mitgliedstaaten gestatten den Fluggesellschaften, die Übermittlung nach Absatz 3 Buchstabe b auf Aktualisierungen der gemäß Absatz 3 Buchstabe a übermittelten Daten zu beschränken.

5 Wenn der Zugriff auf PNR-Daten erforderlich ist, um eine bestimmte und gegenwärtige Bedrohung im Zusammenhang mit terroristischen Straftaten oder schwerer Kriminalität abzuwehren, übermitteln die Fluggesellschaften die PNR-Daten in Einzelfällen auf Anfrage einer PNR-Zentralstelle im Einklang mit dem nationalen Recht zu anderen als den in Absatz 3 genannten Zeitpunkten.

1 Die Mitgliedstaaten stellen sicher, dass alle relevanten und erforderlichen PNR-Daten oder die Ergebnisse der Verarbeitung dieser Daten von Personen, die von einer PNR-Zentralstelle nach Artikel 6 Absatz 2 ermittelt wurden, von dieser PNR-Zentralstelle den entsprechenden PNR-Zentralstellen der anderen Mitgliedstaaten übermittelt werden. Die PNR-Zentralstellen der Empfängermitgliedstaaten leiten gemäß Artikel 6 Absatz 6 die erhaltenen Daten an ihre zuständigen Behörden weiter.

2 Die PNR-Zentralstelle eines Mitgliedstaats ist berechtigt, im Bedarfsfall bei der PNR-Zentralstelle jedes anderen Mitgliedstaats PNR-Daten, die in deren Datenbank vorgehalten werden und noch nicht gemäß Artikel 12 Absatz 2 durch Unkenntlichmachung von Datenelementen depersonalisiert wurden, sowie erforderlichenfalls auch die Ergebnisse jeglicher Verarbeitung dieser Daten, wenn dies bereits gemäß Artikel 6 Absatz 2 Buchstabe a erfolgt ist, anzufordern. Eine solche Anfrage ist gebührend zu begründen. Sie kann ein beliebiges Datenelement oder eine Kombination von Datenelementen betreffen, je nachdem, was die anfordernde PNR-Zentralstelle in dem konkreten Fall im Hinblick auf die Verhütung, Aufdeckung, Ermittlung oder Verfolgung von terroristischen Straftaten oder schwerer Kriminalität für erforderlich erachtet. Die PNR-Zentralstellen übermitteln die angeforderten Informationen so rasch wie möglich. Falls die angeforderten Daten gemäß Artikel 12 Absatz 2 durch Unkenntlichmachung von Datenelementen depersonalisiert worden sind, stellt die PNR-Zentralstelle die vollständigen PNR-Daten nur bereit, wenn berechtigter Grund zu der Annahme besteht, dass dies für die Zwecke des Artikels 6 Absatz 2 Buchstabe b erforderlich ist, und nur, wenn sie durch eine in Artikel 12 Absatz 3 Buchstabe b genannte Behörde dazu ermächtigt ist.

3 Die zuständigen Behörden eines Mitgliedstaats können bei der PNR-Zentralstelle jedes anderen Mitgliedstaats PNR-Daten, die in deren Datenbank vorgehalten werden, nur dann direkt anfordern, wenn dies in Notfällen erforderlich ist; dabei gelten die in Absatz 2 festgelegten Bedingungen. Die Anfragen der zuständigen Behörden müssen begründet sein. Der PNR-Zentralstelle des anfordernden Mitgliedstaats ist stets eine Kopie der Anfrage zu übermitteln. In allen übrigen Fällen richten die zuständigen Behörden ihre Anfrage zuerst an die PNR-Zentralstelle ihres Mitgliedstaats, die sie anschließend weiterleitet.

4 Ist ausnahmsweise ein Zugriff auf PNR-Daten erforderlich, um eine bestimmte und gegenwärtige Bedrohung im Zusammenhang mit terroristischen Straftaten oder schwerer Kriminalität abwehren zu können, so ist die PNR-Zentralstelle eines Mitgliedstaats berechtigt, von der PNR-Zentralstelle eines anderen Mitgliedstaats zu verlangen, PNR-Daten gemäß Artikel 8 Absatz 5 anzufordern und sie der PNR-Zentralstelle, die die Anfrage gestellt hat, bereitzustellen.

5 Der Austausch von Informationen nach Maßgabe dieses Artikels kann über alle Kanäle erfolgen, die für die Zusammenarbeit zwischen den zuständigen Behörden der Mitgliedstaaten verfügbar sind. Für die Anfrage und den Informationsaustausch ist die Sprache zu verwenden, die der jeweils gewählte Kommunikationsweg erfordert. Die Mitgliedstaaten teilen der Kommission zusammen mit ihren Angaben gemäß Artikel 4 Absatz 5 die Daten einer Kontaktstelle für Anfragen in Notfällen mit. Die Kommission leitet diese Daten an die Mitgliedstaaten weiter.

1 Europol ist berechtigt, im Rahmen seiner Zuständigkeiten und zur Ausübung seiner Aufgaben PNR-Daten oder die Ergebnisse der Verarbeitung dieser Daten von den PNR-Zentralstellen der Mitgliedstaaten anzufordern.

2 Europol kann im Einzelfall über die nationale Europol-Stelle eine gebührend begründete Anfrage an die PNR-Zentralstelle eines Mitgliedstaats zwecks Übermittlung bestimmter PNR-Daten oder der Ergebnisse der Verarbeitung dieser Daten auf elektronischem Wege richten. Europol kann eine solche Anfrage stellen, wenn dies für die Unterstützung und Verstärkung von Maßnahmen der Mitgliedstaaten zur Verhütung, Aufdeckung oder Ermittlung einer bestimmten terroristischen Straftat oder schwerer Kriminalität unbedingt notwendig ist und die Straftat gemäß dem Beschluss 2009/371/JI in die Zuständigkeit von Europol fällt. In dieser Anfrage sind hinreichende Gründe dafür anzugeben, dass Europol davon ausgeht, dass die Übermittlung der PNR-Daten oder der Ergebnisse der Verarbeitung von PNR-Daten wesentlich zur Verhütung, Aufdeckung oder Ermittlung der betreffenden Straftat beitragen wird.

3 Europol benachrichtigt den gemäß Artikel 28 des Beschlusses 2009/371/JI ernannten Datenschutzbeauftragten über jeden Informationsaustausch gemäß diesem Artikel.

4 Der Informationsaustausch gemäß diesem Artikel erfolgt über SIENA und in Einklang mit dem Beschluss 2009/371/JI. Für die Anfrage und den Informationsaustausch ist die Sprache zu verwenden, die für SIENA Anwendung findet.

1 Die Mitgliedstaaten dürfen die PNR-Daten und die Ergebnisse der Verarbeitung dieser Daten, die durch die PNR-Zentralstelle nach Artikel 12 gespeichert werden, nur im Einzelfall und nur dann an einen Drittstaat übermitteln, wenn a) die Bedingungen des Artikels 13 des Rahmenbeschlusses 2008/977/JI erfüllt sind; b) die Übermittlung für die in Artikel 1 Absatz 2 genannten Zwecke dieser Richtlinie erforderlich ist; c) der Drittstaat sich bereit erklärt, die Daten nur dann an einen anderen Drittstaat zu übermitteln, wenn dies für die in Artikel 1 Absatz 2 genannten Zwecke dieser Richtlinie unbedingt notwendig ist und nur wenn der jeweilige Mitgliedstaat ausdrücklich zustimmt, und d) die gleichen Bedingungen wie in Artikel 9 Absatz 2 erfüllt sind.

2 Ungeachtet des Artikels 13 Absatz 2 des Rahmenbeschlusses 2008/977/JI sind Übermittlungen von PNR-Daten ohne vorherige Zustimmung des Mitgliedstaats, von dem die Daten eingeholt wurden, nur unter außergewöhnlichen Umständen und nur dann zulässig, wenn a) eine solche Übermittlung unerlässlich ist, um eine bestimmte und gegenwärtige Bedrohung durch terroristische Straftaten oder schwere Kriminalität in einem Mitgliedstaat oder einem Drittstaat abzuwehren, und b) die vorherige Zustimmung nicht rechtzeitig eingeholt werden kann. Die für die Erteilung der Zustimmung zuständige Behörde wird unverzüglich unterrichtet und die Übermittlung wird ordnungsgemäß aufgezeichnet und einer Ex-Post-Überprüfung unterzogen.

3 Die Mitgliedstaaten übermitteln PNR-Daten nur unter Bedingungen im Einklang mit dieser Richtlinie und nach Vergewisserung, dass die von den Empfängern beabsichtigte Verwendung der PNR-Daten mit diesen Bedingungen und Sicherheitsvorkehrungen in Einklang steht, an die zuständigen Behörden von Drittstaaten.

4 Der Datenschutzbeauftragte der PNR-Zentralstelle des Mitgliedstaats, der die PNR-Daten übermittelt hat, wird über jede Übermittlung von PNR-Daten durch den Mitgliedstaat gemäß diesem Artikel unterrichtet.

1 Die Mitgliedstaaten stellen sicher, dass die von den Fluggesellschaften an die PNR-Zentralstelle übermittelten PNR-Daten für einen Zeitraum von fünf Jahren ab ihrer Übermittlung an die PNR-Zentralstelle des Mitgliedstaats, in dessen Hoheitsgebiet der Flug angekommen beziehungsweise von dem er abgegangen ist, in einer bei dieser PNR-Zentralstelle angesiedelten Datenbank vorgehalten werden.

2 Nach Ablauf einer Frist von sechs Monaten ab Übermittlung der PNR-Daten gemäß Absatz 1 werden alle PNR-Daten durch Unkenntlichmachung der folgenden Datenelemente, mit denen die Identität des Fluggasts, auf den sich die PNR-Daten beziehen, unmittelbar festgestellt werden könnte, depersonalisiert: a) Name(n), auch die Namen und die Zahl der im PNR-Datensatz verzeichneten mitreisenden Personen; b) Anschrift und Kontaktdaten; c) alle Arten von Zahlungsinformationen einschließlich Rechnungsanschrift, die zur unmittelbaren Feststellung der Identität des Fluggasts, zu dem die PNR-Daten erstellt wurden, oder anderer Personen beitragen könnten; d) Vielflieger-Eintrag; e) allgemeine Hinweise, die zur unmittelbaren Feststellung der Identität des Fluggastes beitragen könnten, zu dem die PNR-Daten erstellt wurden, und f) jedwede erhobenen API-Daten.

3 Nach Ablauf der in Absatz 2 genannten Frist von sechs Monaten ist die Offenlegung der vollständigen PNR-Daten nur zulässig, wenn a) berechtigter Grund zu der Annahme besteht, dass dies für die Zwecke des Artikels 6 Absatz 2 Buchstabe b erforderlich ist und b) dies genehmigt wird durch i) eine Justizbehörde oder ii) eine andere nationale Behörde, die nach nationalem Recht dafür zuständig ist zu überprüfen, ob die Bedingungen für die Offenlegung erfüllt sind, vorbehaltlich der Unterrichtung des Datenschutzbeauftragten der PNR-Zentralstelle und einer Ex-Post-Überprüfung durch diesen Datenschutzbeauftragten.

4 Die Mitgliedstaaten stellen sicher, dass die PNR-Daten nach Ablauf der Frist nach Absatz 1 dauerhaft gelöscht werden. Diese Verpflichtung lässt Fälle unberührt, in denen bestimmte PNR-Daten an eine zuständige Behörde übermittelt wurden und im Zusammenhang mit einem konkreten Fall zum Zwecke der Verhütung, Aufdeckung, Ermittlung oder Verfolgung terroristischer Straftaten oder schwerer Kriminalität verwendet werden; in diesem Fall richtet sich die Frist für die Speicherung dieser Daten durch die zuständige Behörde nach nationalem Recht.

5 Die Ergebnisse der Verarbeitung nach Artikel 6 Absatz 2 Buchstabe a werden von der PNR-Zentralstelle nur so lange vorgehalten, wie dies erforderlich ist, um die zuständigen Behörden und die PNR-Zentralstellen anderer Mitgliedstaaten gemäß Artikel 9 Absatz 1 über einen Treffer zu informieren. Fällt die in Artikel 6 Absatz 5 genannte anschließende individuelle nicht-automatisierte Überprüfung eines Treffers bei der automatisierten Verarbeitung negativ aus, so kann dieses Ergebnis dennoch gespeichert werden, um künftige „falsche“ Treffer zu vermeiden, solange die dazugehörigen Daten nicht gemäß Absatz 4 dieses Artikels gelöscht sind.

1 Jeder Mitgliedstaat sorgt im Zusammenhang mit der Verarbeitung personenbezogener Daten nach dieser Richtlinie dafür, dass die Rechte jedes Fluggasts in Bezug auf Schutz personenbezogener Daten, Zugang, Berichtigung, Löschung und Einschränkung der Verarbeitung sowie Schadenersatz und Rechtsbehelfe den Rechten entsprechen, die nach Unionsrecht und nationalem Recht sowie zur Umsetzung der Artikel 17, 18, 19 und 20 des Rahmenbeschlusses 2008/977/JI festgelegt sind. Diesbezüglich gelten daher jene Artikel.

2 Jeder Mitgliedstaat sorgt dafür, dass die nach nationalem Recht erlassenen Bestimmungen zur Umsetzung der Artikel 21 und 22 des Rahmenbeschlusses 2008/977/JI betreffend die Vertraulichkeit der Verarbeitung und die Datensicherheit ebenfalls auf jede Verarbeitung personenbezogener Daten nach dieser Richtlinie Anwendung finden.

3 Diese Richtlinie berührt nicht die Anwendbarkeit der Richtlinie 95/46/EG des Europäischen Parlamentes und des Rates auf die Verarbeitung personenbezogener Daten durch Fluggesellschaften, insbesondere deren Pflichten, geeignete technische und organisatorische Maßnahmen zum Schutz der Sicherheit und Vertraulichkeit der personenbezogenen Daten zu treffen.

4 Die Mitgliedstaaten untersagen die Verarbeitung von PNR-Daten, die die rassische oder ethnische Herkunft einer Person, ihre politischen Meinungen, ihre religiösen oder weltanschaulichen Überzeugungen, ihre Mitgliedschaft in einer Gewerkschaft, ihren Gesundheitszustand oder ihr Sexualleben oder ihre sexuelle Orientierung erkennen lassen. Bei der PNR-Zentralstelle eingehende PNR-Daten, aus denen derartige Informationen hervorgehen, werden umgehend gelöscht.

5 Die Mitgliedstaaten sorgen dafür, dass die PNR-Zentralstellen alle ihrer Zuständigkeit unterliegenden Verarbeitungssysteme und -verfahren dokumentieren. Diese Dokumentation muss zumindest folgende Unterlagen enthalten: a) den Namen und die Kontaktinformationen der Organisation und des Personals der PNR-Zentralstelle, die mit der Verarbeitung der PNR-Daten beauftragt sind, und die verschiedenen Ebenen der Zugangsberechtigungen; b) die Anfragen von zuständigen Behörden und PNR-Zentralstellen anderer Mitgliedstaaten; c) jede Anfrage und jede Übermittlung von PNR-Daten durch bzw. an Drittstaaten. Die PNR-Zentralstelle stellt der nationalen Kontrollstelle auf Anfrage alle verfügbare Dokumentation zur Verfügung.

6 Die Mitgliedstaaten stellen sicher, dass die PNR-Zentralstelle mindestens über folgende Verarbeitungsvorgänge Aufzeichnungen führt: Erhebung, Abfrage, Offenlegung und Löschung. Den Aufzeichnungen über Abfragen und Offenlegung müssen der Zweck, das Datum und die Uhrzeit dieser Vorgänge und so weit wie möglich die Identität der Person zu entnehmen sein, die die PNR-Daten abgefragt oder offengelegt hat, sowie die Identität der Empfänger dieser Daten. Die Aufzeichnungen werden ausschließlich zu Zwecken der Überprüfung, der Eigenüberwachung, der Sicherstellung der Datenintegrität und der Datensicherheit oder des Audits verwendet. Die PNR-Zentralstelle stellt der nationalen Kontrollstelle auf Anfrage die Aufzeichnungen zur Verfügung. Diese Aufzeichnungen sind fünf Jahre lang aufzubewahren.

7 Die Mitgliedstaaten sorgen dafür, dass ihre PNR-Zentralstelle technische und organisatorische Maßnahmen und Verfahren umsetzt, um ein hohes Sicherheitsniveau zu gewährleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden PNR-Daten angemessen ist.

8 Die Mitgliedstaaten sorgen dafür, dass die PNR-Zentralstelle die betroffene Person und die nationale Kontrollstelle unverzüglich von einer Verletzung des Schutzes personenbezogener Daten benachrichtigt, wenn diese Verletzung voraussichtlich ein hohes Risiko für den Schutz der personenbezogenen Daten oder eine Verletzung der Privatsphäre der betroffenen Person zur Folge hat.

Die Mitgliedstaaten erlassen Vorschriften über Sanktionen, die bei Verstößen gegen die gemäß dieser Richtlinie erlassenen nationalen Vorschriften zu verhängen sind, und treffen alle für die Anwendung der Sanktionen erforderlichen Maßnahmen. Insbesondere erlassen die Mitgliedstaaten Vorschriften über Sanktionen einschließlich Geldbußen gegen Fluggesellschaften, die die Daten nicht gemäß Artikel 8 übermitteln oder hierzu nicht das vorgeschriebene Format verwenden. Die vorgesehenen Sanktionen müssen wirksam, angemessen und abschreckend sein.

1 Jeder Mitgliedstaat sorgt dafür, dass die nationale Kontrollstelle gemäß Artikel 25 des Rahmenbeschlusses 2008/977/JI für die Beratung und Kontrolle hinsichtlich der Anwendung der von den Mitgliedstaaten zur Umsetzung dieser Richtlinie erlassenen nationalen Vorschriften in seinem Hoheitsgebiet verantwortlich ist. Artikel 25 des Rahmenbeschlusses 2008/977/JI findet Anwendung.

2 Diese nationalen Kontrollstellen erfüllen ihre Aufgaben gemäß Absatz 1, um die Grundrechte im Zusammenhang mit der Verarbeitung personenbezogener Daten zu schützen.

3 Aufgaben jeder nationalen Kontrollstelle sind a) die Behandlung von Beschwerden betroffener Personen, die Untersuchung der Angelegenheit und Unterrichtung der betroffenen Personen über den Fortgang und das Ergebnis der Beschwerde innerhalb einer angemessenen Frist; b) die Prüfung der Rechtmäßigkeit der Datenverarbeitung, die Durchführung von Ermittlungen, Inspektionen und Audits gemäß nationalem Recht entweder aus eigener Initiative oder aufgrund einer Beschwerde gemäß Buchstabe a.

4 Jede nationale Kontrollstelle berät auf Anfrage eine betroffene Person bei der Wahrnehmung der Rechte, die ihr aufgrund der nach Maßgabe dieser Richtlinie erlassenen Vorschriften zustehen.

1 Alle von den Fluggesellschaften für die Zwecke dieser Richtlinie vorgenommenen Übermittlungen von PNR-Daten an die PNR-Zentralstellen erfolgen mittels elektronischer Hilfsmittel, die hinsichtlich der technischen Sicherheitsmaßnahmen und organisatorischen Vorkehrungen für die vorzunehmende Verarbeitung ausreichende Gewähr bieten. Bei einer technischen Störung werden die PNR-Daten auf jede andere geeignete Weise übermittelt, vorausgesetzt, dass die gleiche Sicherheitsstufe beibehalten und das Datenschutzrecht der Union vollständig eingehalten wird.

2 Ein Jahr nach der ersten Annahme der gemeinsamen Protokolle und unterstützten Datenformate durch die Kommission gemäß Absatz 3 erfolgen sämtliche von den Fluggesellschaften für die Zwecke dieser Richtlinie vorgenommenen Übermittlungen von PNR-Daten an die PNR-Zentralstellen auf elektronischem Weg unter Verwendung sicherer Übermittlungsmethoden entsprechend diesen gemeinsamen Protokollen. Diese Protokolle sind für alle Übermittlungen identisch, um die Sicherheit der PNR-Daten während der Übermittlung zu gewährleisten. Die PNR-Daten werden unter Verwendung eines unterstützten Datenformats übermittelt, das die Lesbarkeit der Daten für alle Beteiligten garantiert. Alle Fluggesellschaften sind gehalten, das gemeinsame Protokoll und das Datenformat, das sie für ihre Übermittlungen zu verwenden gedenken, auszuwählen und beides der PNR-Zentralstelle mitzuteilen.

3 Die Liste der gemeinsamen Protokolle und unterstützten Datenformate wird mittels Durchführungsrechtsakten von der Kommission erstellt und im Bedarfsfall angepasst. Diese Durchführungsrechtsakte werden gemäß dem Prüfverfahren nach Artikel 17 Absatz 2 erlassen.

4 Absatz 1 ist anwendbar, solange die gemeinsamen Protokolle und unterstützten Datenformate gemäß den Absätzen 2 und 3 nicht vorliegen.

5 Die Mitgliedstaaten stellen sicher, dass innerhalb eines Jahres nach der Annahme der in Absatz 2 genannten gemeinsamen Protokolle und Datenformate die erforderlichen technischen Maßnahmen ergriffen werden, damit die gemeinsamen Protokolle und Datenformate angewendet werden können.

1 Die Kommission wird von einem Ausschuss unterstützt. Dieser Ausschuss ist ein Ausschuss im Sinne der Verordnung (EU) Nr. 182/2011.

2 Wird auf diesen Absatz Bezug genommen, so gilt Artikel 5 der Verordnung (EU) Nr. 182/2011. Gibt der Ausschuss keine Stellungnahme ab, so erlässt die Kommission den Entwurf des Durchführungsrechtsakts nicht und Artikel 5 Absatz 4 Unterabsatz 3 der Verordnung (EU) Nr. 182/2011 findet Anwendung.

1 Die Mitgliedstaaten setzen die Rechts- und Verwaltungsvorschriften in Kraft, die erforderlich sind, um dieser Richtlinie bis zum 25. Mai 2018 nachzukommen. Sie setzen die Kommission unverzüglich davon in Kenntnis. Bei Erlass dieser Vorschriften nehmen die Mitgliedstaaten in den Vorschriften selbst oder durch einen Hinweis bei der amtlichen Veröffentlichung auf die vorliegende Richtlinie Bezug. Die Mitgliedstaaten regeln die Einzelheiten der Bezugnahme.

2 Die Mitgliedstaaten teilen der Kommission den Wortlaut der wichtigsten nationalen Rechtsvorschriften mit, die sie auf dem unter diese Richtlinie fallenden Gebiet erlassen.

1 Anhand von Informationen der Mitgliedstaaten, einschließlich der statistischen Daten nach Artikel 20 Absatz 2, nimmt die Kommission bis zum 25. Mai 2020 eine Überprüfung aller Elemente dieser Richtlinie vor und legt dem Europäischen Parlament und dem Rat einen Bericht vor und erläutert diesen.

2 Bei der Vornahme ihrer Überprüfung berücksichtigt die Kommission insbesondere a) die Einhaltung des einschlägigen Schutzstandards bezüglich personenbezogener Daten; b) die Erforderlichkeit und Verhältnismäßigkeit der Erhebung und Verarbeitung von PNR-Daten für jeden der in dieser Richtlinie genannten Zwecke; c) die Datenspeicherungsfristen; d) die Effektivität des Informationsaustauschs zwischen den Mitgliedstaaten und e) die Qualität der Prüfungen, einschließlich in Bezug auf die nach Maßgabe von Artikel 20 erhobenen statistischen Daten.

3 Der Bericht gemäß Absatz 1 enthält zudem eine Überprüfung der Erforderlichkeit, Verhältnismäßigkeit und Wirksamkeit der Aufnahme der obligatorischen Erhebung und Übermittlung von PNR-Daten in Bezug auf sämtliche oder ausgewählte EU-Flüge in den Anwendungsbereich dieser Richtlinie. Die Kommission berücksichtigt dabei die Erfahrungen der Mitgliedstaaten, insbesondere jener Mitgliedstaaten, die gemäß Absatz 2 diese Richtlinie auf EU-Flüge anwenden. In dem Bericht wird auch geprüft, ob es erforderlich ist, Wirtschaftsteilnehmer, die keine Beförderungsunternehmen sind, wie etwa Reisebüros oder Reiseveranstalter, die Dienstleistungen im Zusammenhang mit Reisen — einschließlich Flugbuchungen — erbringen, in den Anwendungsbereich dieser Richtlinie aufzunehmen.

4 Auf der Grundlage der Überprüfung nach diesem Artikel legt die Kommission dem Europäischen Parlament und dem Rat gegebenenfalls einen Gesetzgebungsvorschlag zur Änderung dieser Richtlinie vor.

1 Die Mitgliedstaaten stellen der Kommission jährlich Statistiken über die an die PNR-Zentralstellen übermittelten PNR-Daten zur Verfügung. Diese Statistiken dürfen keine personenbezogenen Daten enthalten.

2 Die Statistiken müssen mindestens Folgendes ausweisen: a) die Gesamtzahl der Fluggäste, deren PNR-Daten erhoben und ausgetauscht worden sind; b) die Zahl der Fluggäste, bei denen eine weitere Überprüfung für angezeigt erachtet wurde.

1 Es steht den Mitgliedstaaten frei, am 24. Mai 2016 geltende bilaterale oder multilaterale Übereinkünfte oder Vereinbarungen untereinander über den Austausch von Informationen zwischen zuständigen Behörden auch weiterhin anzuwenden, soweit diese Übereinkünfte oder Vereinbarungen mit dieser Richtlinie vereinbar sind.

2 Diese Richtlinie berührt nicht die Anwendbarkeit der Richtlinie 95/46/EG auf die Verarbeitung personenbezogener Daten durch Fluggesellschaften.

3 Diese Richtlinie berührt nicht die Verpflichtungen und Zusagen der Mitgliedstaaten oder der Union aufgrund bilateraler oder multilateraler Übereinkünfte mit Drittstaaten.

Diese Richtlinie tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Diese Richtlinie ist gemäß den Verträgen an die Mitgliedstaaten gerichtet.