Entscheidungsdatum
28.08.2023Norm
B-VG Art133 Abs4Spruch
W214 2226813-1/15E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde des XXXX gegen den Bescheid der Datenschutzbehörde vom 15.11.2019, DSB-D124.1634/0001-DSB/2019, zu Recht erkannt:Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde des römisch XXXX gegen den Bescheid der Datenschutzbehörde vom 15.11.2019, DSB-D124.1634/0001-DSB/2019, zu Recht erkannt:
A)
Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG als unbegründet abgewiesen. Die Beschwerde wird gemäß Paragraph 28, Absatz 2, VwGVG als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:römisch eins. Verfahrensgang:
1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 30.10.2019 (eingelangt am 05.11.2019) machte der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG durch den XXXX (ehemaliger Beschwerdegegner vor der belangten Behörde, nunmehr mitbeteiligte Partei vor dem Bundesverwaltungsgericht) geltend und brachte zusammengefasst vor, dass eine Verarbeitung der ihn betreffenden personenbezogenen Daten durch die bei der mitbeteiligten Partei eingerichtete Fluggastdatenzentralstelle auf Grundlage des PNR-Gesetzes (PNR-G) für die Flüge Wien-Brüssel und Brüssel-Wien vom 22.08.2019 bzw. 26.08.2019 erfolge. Die verdachtsunabhängige Verarbeitung seiner personenbezogenen Daten durch die Fluggastdatenzentralstelle allein aufgrund des Umstandes der Buchung von näher angeführten Flugreisen sei seiner Auffassung nach nicht mit dem Grundrecht auf Datenschutz in Einklang zu bringen. Davon ausgehend sei die Verarbeitung seiner personenbezogenen Daten ohne taugliche Rechtsgrundlage erfolgt.1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 30.10.2019 (eingelangt am 05.11.2019) machte der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG durch den römisch XXXX (ehemaliger Beschwerdegegner vor der belangten Behörde, nunmehr mitbeteiligte Partei vor dem Bundesverwaltungsgericht) geltend und brachte zusammengefasst vor, dass eine Verarbeitung der ihn betreffenden personenbezogenen Daten durch die bei der mitbeteiligten Partei eingerichtete Fluggastdatenzentralstelle auf Grundlage des PNR-Gesetzes (PNR-G) für die Flüge Wien-Brüssel und Brüssel-Wien vom 22.08.2019 bzw. 26.08.2019 erfolge. Die verdachtsunabhängige Verarbeitung seiner personenbezogenen Daten durch die Fluggastdatenzentralstelle allein aufgrund des Umstandes der Buchung von näher angeführten Flugreisen sei seiner Auffassung nach nicht mit dem Grundrecht auf Datenschutz in Einklang zu bringen. Davon ausgehend sei die Verarbeitung seiner personenbezogenen Daten ohne taugliche Rechtsgrundlage erfolgt.
Der Datenschutzbeschwerde beigelegt wurde ein Schreiben der mitbeteiligten Partei vom 24.10.2019, in welchem dem Beschwerdeführer Auskunft über die über ihn verarbeiteten Fluggastdaten erteilt worden war.
2. Mit dem nunmehr angefochtenem Bescheid der belangten Behörde wurde die Datenschutzbeschwerde des Beschwerdeführers als unbegründet abgewiesen.
Begründend führte die belangte Behörde aus, dass die Verarbeitung der personenbezogenen Daten des Beschwerdeführers durch die mitbeteiligte Partei ausdrücklich gesetzlich vorgesehen sei und somit einen zulässigen Eingriffstatbestand gemäß § 1 Abs. 2 DSG darstelle. Es könne nicht festgestellt werden, dass andere Daten als jene, die das PNR-G vorsehe, verarbeitet würden. Ob und allenfalls in welchem Umfang das PNR-G im Einklang mit dem Grundrecht auf Datenschutz gemäß § 1 DSG oder Art. 8 EMRK bzw. die PNR-Richtlinie mit den Art. 7 und Art. 8 EU-GRC stehe, sei von der Prüfkompetenz der belangten Behörde nicht erfasst. Eine derartige Prüfkompetenz obliege alleine dem Verfassungsgerichtshof nach Art. 140 B-VG bzw. dem EuGH nach Art. 267 AEUV, wobei eine Anrufung dieser Gerichtshöfe durch die Datenschutzbehörde mangels entsprechender Rechtsgrundlage nicht in Betracht komme. Die Beschwerde habe sich daher als nicht berechtigt erwiesen und sei daher gemäß § 24 Abs. 5 DSG spruchgemäß abzuweisen gewesen. Begründend führte die belangte Behörde aus, dass die Verarbeitung der personenbezogenen Daten des Beschwerdeführers durch die mitbeteiligte Partei ausdrücklich gesetzlich vorgesehen sei und somit einen zulässigen Eingriffstatbestand gemäß Paragraph eins, Absatz 2, DSG darstelle. Es könne nicht festgestellt werden, dass andere Daten als jene, die das PNR-G vorsehe, verarbeitet würden. Ob und allenfalls in welchem Umfang das PNR-G im Einklang mit dem Grundrecht auf Datenschutz gemäß Paragraph eins, DSG oder Artikel 8, EMRK bzw. die PNR-Richtlinie mit den Artikel 7 und Artikel 8, EU-GRC stehe, sei von der Prüfkompetenz der belangten Behörde nicht erfasst. Eine derartige Prüfkompetenz obliege alleine dem Verfassungsgerichtshof nach Artikel 140, B-VG bzw. dem EuGH nach Artikel 267, AEUV, wobei eine Anrufung dieser Gerichtshöfe durch die Datenschutzbehörde mangels entsprechender Rechtsgrundlage nicht in Betracht komme. Die Beschwerde habe sich daher als nicht berechtigt erwiesen und sei daher gemäß Paragraph 24, Absatz 5, DSG spruchgemäß abzuweisen gewesen.
3. Gegen diesen Bescheid erhob der Beschwerdeführer mit Eingabe vom 03.12.2019 (bei der belangten Behörde eingelangt am 11.12.2019) fristgerecht Beschwerde an das Bundesverwaltungsgericht. Darin brachte er zusammengefasst vor, die PNR-RL sei mit den Art. 7 und 8 sowie 52 der Charta der Grundrechte der Europäischen Union nicht vereinbar. Seine Bedenken stützte der Beschwerdeführer unter anderem auf die fehlende Verhältnismäßigkeit, insbesondere auf die verdachtsunabhängige und automatisierte Speicherung und Verarbeitung von Datensätzen einer großen Anzahl an Personen, die über das „absolut Notwendige“ hinausgehe. Die von ihm angesprochenen Regelungen im PNR-G seien verfassungs- bzw. unionsrechtswidrig. 3. Gegen diesen Bescheid erhob der Beschwerdeführer mit Eingabe vom 03.12.2019 (bei der belangten Behörde eingelangt am 11.12.2019) fristgerecht Beschwerde an das Bundesverwaltungsgericht. Darin brachte er zusammengefasst vor, die PNR-RL sei mit den Artikel 7 und 8 sowie 52 der Charta der Grundrechte der Europäischen Union nicht vereinbar. Seine Bedenken stützte der Beschwerdeführer unter anderem auf die fehlende Verhältnismäßigkeit, insbesondere auf die verdachtsunabhängige und automatisierte Speicherung und Verarbeitung von Datensätzen einer großen Anzahl an Personen, die über das „absolut Notwendige“ hinausgehe. Die von ihm angesprochenen Regelungen im PNR-G seien verfassungs- bzw. unionsrechtswidrig.
4. Der belgische Verfassungsgerichtshof legte mit einer Entscheidung vom 17.10.2019, Nr. 135/2019, dem Gerichtshof der Europäischen Union (EuGH) Fragen zur Vorabentscheidung vor, welche im Wesentlichen die Auslegung von Art. 2 Abs. 2 Buchst. d und Art. 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO), der Richtlinie 2004/82/EG des Rates vom 29. April 2004 über die Verpflichtung von Beförderungsunternehmen, Angaben über die beförderten Personen zu übermitteln (ABl. 2004, L 261, S. 24, im Folgenden: API-Richtlinie), sowie der Richtlinie 2010/65/EU des Europäischen Parlaments und des Rates vom 20. Oktober 2010 über Meldeformalitäten für Schiffe beim Einlaufen in und/oder Auslaufen aus Häfen der Mitgliedstaaten und zur Aufhebung der Richtlinie 2002/6/EG (ABl. 2010, L 283, S. 1), die Auslegung und die Gültigkeit, im Hinblick auf die Art. 7 und 8 sowie Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta), von Art. 3 Nr. 4, der Art. 6 und 12 sowie von Anhang I der Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom 27. April 2016 über die Verwendung von Fluggastdatensätzen (PNR) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität (ABl. 2016, L 119, S. 132, im Folgenden: PNR-Richtlinie) und die Auslegung und die Gültigkeit der API-Richtlinie im Hinblick auf Art. 3 Abs. 2 EUV und Art. 45 der Charta, betreffen. 4. Der belgische Verfassungsgerichtshof legte mit einer Entscheidung vom 17.10.2019, Nr. 135/2019, dem Gerichtshof der Europäischen Union (EuGH) Fragen zur Vorabentscheidung vor, welche im Wesentlichen die Auslegung von Artikel 2, Absatz 2, Buchst. d und Artikel 23, der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO), der Richtlinie 2004/82/EG des Rates vom 29. April 2004 über die Verpflichtung von Beförderungsunternehmen, Angaben über die beförderten Personen zu übermitteln (ABl. 2004, L 261, S. 24, im Folgenden: API-Richtlinie), sowie der Richtlinie 2010/65/EU des Europäischen Parlaments und des Rates vom 20. Oktober 2010 über Meldeformalitäten für Schiffe beim Einlaufen in und/oder Auslaufen aus Häfen der Mitgliedstaaten und zur Aufhebung der Richtlinie 2002/6/EG (ABl. 2010, L 283, S. 1), die Auslegung und die Gültigkeit, im Hinblick auf die Artikel 7 und 8 sowie Artikel 52, Absatz eins, der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta), von Artikel 3, Nr. 4, der Artikel 6 und 12 sowie von Anhang römisch eins der Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom 27. April 2016 über die Verwendung von Fluggastdatensätzen (PNR) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität (ABl. 2016, L 119, S. 132, im Folgenden: PNR-Richtlinie) und die Auslegung und die Gültigkeit der API-Richtlinie im Hinblick auf Artikel 3, Absatz 2, EUV und Artikel 45, der Charta, betreffen.
5. Mit Schreiben vom 12.12.2019 legte die belangte Behörde die Beschwerde sowie den Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor.
6. Mit Beschluss vom 15.06.2020, Zl. W211 226813-1/4E, setzte das Bundesverwaltungsgericht das Verfahren bis zur Vorabentscheidung durch den EuGH über die mit Entscheid des Belgischen Verfassungsgerichtshofs vom 17.10.2019, Nr. 135/2019 (beim EuGH anhängig unter C-817/19) zu der C 817/19) sowie über die mit Beschlüssen des Amtsgerichts Köln vom 20.01.2020, zu den Zlen 142 C 328/19, 142 C329/19 und 142 C 330/19 aus.
7. Aufgrund der Verfügung des Geschäftsverteilungsausschusses vom 23.03.2022 wurde die gegenständliche Rechtssache der nunmehr zuständigen Gerichtsabteilung W214 zugewiesen, wo sie am 01.04.2022 einlangte.
8. Mit Urteil des Europäischen Gerichtshofes vom 21.06.2022, Zl. C?817/19, erkannte dieser zu Recht:
„1. Art. 2 Abs. 2 Buchst. d und Art. 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sind dahin auszulegen, dass diese Verordnung für die Verarbeitung personenbezogener Daten gilt, die in nationalen Rechtsvorschriften vorgesehen ist, mit denen die Bestimmungen sowohl der Richtlinie 2004/82/EG des Rates vom 29. April 2004 über die Verpflichtung von Beförderungsunternehmen, Angaben über die beförderten Personen zu übermitteln, als auch der Richtlinie 2010/65/EU des Europäischen Parlaments und des Rates vom 20. Oktober 2010 über Meldeformalitäten für Schiffe beim Einlaufen in und/oder Auslaufen aus Häfen der Mitgliedstaaten und zur Aufhebung der Richtlinie 2002/6/EG und der Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom 27. April 2016 über die Verwendung von Fluggastdatensätzen (PNR) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität in Bezug auf die Verarbeitung von Daten durch private Wirtschaftsteilnehmer sowie in Bezug auf die nur oder auch unter die Richtlinie 2004/82 oder die Richtlinie 2010/65 fallende Verarbeitung von Daten durch Behörden in innerstaatliches Recht umgesetzt werden sollen. Die Verordnung gilt hingegen nicht für die in nationalen Rechtsvorschriften vorgesehene, nur unter die Richtlinie 2016/681 fallende Verarbeitung von Daten durch die PNR-Zentralstelle oder die zuständigen Behörden zu den in Art. 1 Abs. 2 dieser Richtlinie genannten Zwecken.„1. Artikel 2, Absatz 2, Buchst. d und Artikel 23, der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sind dahin auszulegen, dass diese Verordnung für die Verarbeitung personenbezogener Daten gilt, die in nationalen Rechtsvorschriften vorgesehen ist, mit denen die Bestimmungen sowohl der Richtlinie 2004/82/EG des Rates vom 29. April 2004 über die Verpflichtung von Beförderungsunternehmen, Angaben über die beförderten Personen zu übermitteln, als auch der Richtlinie 2010/65/EU des Europäischen Parlaments und des Rates vom 20. Oktober 2010 über Meldeformalitäten für Schiffe beim Einlaufen in und/oder Auslaufen aus Häfen der Mitgliedstaaten und zur Aufhebung der Richtlinie 2002/6/EG und der Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom 27. April 2016 über die Verwendung von Fluggastdatensätzen (PNR) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität in Bezug auf die Verarbeitung von Daten durch private Wirtschaftsteilnehmer sowie in Bezug auf die nur oder auch unter die Richtlinie 2004/82 oder die Richtlinie 2010/65 fallende Verarbeitung von Daten durch Behörden in innerstaatliches Recht umgesetzt werden sollen. Die Verordnung gilt hingegen nicht für die in nationalen Rechtsvorschriften vorgesehene, nur unter die Richtlinie 2016/681 fallende Verarbeitung von Daten durch die PNR-Zentralstelle oder die zuständigen Behörden zu den in Artikel eins, Absatz 2, dieser Richtlinie genannten Zwecken.
2. Da eine Auslegung der Richtlinie 2016/681 im Licht der Art. 7, 8 und 21 sowie von Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union die Vereinbarkeit dieser Richtlinie mit den genannten Artikeln der Charta der Grundrechte gewährleistet, hat die Prüfung der Fragen 2 bis 4 und 6 nichts ergeben, was die Gültigkeit der Richtlinie berühren könnte.2. Da eine Auslegung der Richtlinie 2016/681 im Licht der Artikel 7,, 8 und 21 sowie von Artikel 52, Absatz eins, der Charta der Grundrechte der Europäischen Union die Vereinbarkeit dieser Richtlinie mit den genannten Artikeln der Charta der Grundrechte gewährleistet, hat die Prüfung der Fragen 2 bis 4 und 6 nichts ergeben, was die Gültigkeit der Richtlinie berühren könnte.
3. Art. 6 der Richtlinie 2016/681 ist im Licht der Art. 7 und 8 sowie von Art. 52 Abs. 1 der Charta dahin auszulegen, dass er nationalen Rechtsvorschriften entgegensteht, nach denen die Verarbeitung von Fluggastdatensätzen (PNR-Daten), die im Einklang mit dieser Richtlinie erhoben wurden, zu anderen als den in Art. 1 Abs. 2 der Richtlinie ausdrücklich genannten Zwecken zulässig ist.3. Artikel 6, der Richtlinie 2016/681 ist im Licht der Artikel 7 und 8 sowie von Artikel 52, Absatz eins, der Charta dahin auszulegen, dass er nationalen Rechtsvorschriften entgegensteht, nach denen die Verarbeitung von Fluggastdatensätzen (PNR-Daten), die im Einklang mit dieser Richtlinie erhoben wurden, zu anderen als den in Artikel eins, Absatz 2, der Richtlinie ausdrücklich genannten Zwecken zulässig ist.
4. Art. 12 Abs. 3 Buchst. b der Richtlinie 2016/681 ist dahin auszulegen, dass er nationalen Rechtsvorschriften entgegensteht, nach denen die als PNR-Zentralstelle errichtete Behörde zugleich die für die Genehmigung der Offenlegung der PNR-Daten nach Ablauf der Frist von sechs Monaten ab ihrer Übermittlung an die PNR-Zentralstelle zuständige nationale Behörde ist.4. Artikel 12, Absatz 3, Buchst. b der Richtlinie 2016/681 ist dahin auszulegen, dass er nationalen Rechtsvorschriften entgegensteht, nach denen die als PNR-Zentralstelle errichtete Behörde zugleich die für die Genehmigung der Offenlegung der PNR-Daten nach Ablauf der Frist von sechs Monaten ab ihrer Übermittlung an die PNR-Zentralstelle zuständige nationale Behörde ist.
5. Art. 12 Abs. 1 der Richtlinie 2016/681 in Verbindung mit den Art. 7 und 8 sowie mit Art. 52 Abs. 1 der Charta der Grundrechte ist dahin auszulegen, dass er nationalen Rechtsvorschriften entgegensteht, die eine allgemeine Speicherfrist der PNR-Daten von fünf Jahren vorsehen, die unterschiedslos für alle Fluggäste gilt, einschließlich derjenigen, bei denen weder die Vorabüberprüfung nach Art. 6 Abs. 2 Buchst. a der Richtlinie 2016/681 noch etwaige Überprüfungen während des in Art. 12 Abs. 2 der Richtlinie genannten Zeitraums von sechs Monaten oder irgendein anderer Umstand objektive Anhaltspunkte geliefert haben, die eine Gefahr im Bereich terroristischer Straftaten oder schwerer Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit der Reise der Fluggäste belegen können.5. Artikel 12, Absatz eins, der Richtlinie 2016/681 in Verbindung mit den Artikel 7 und 8 sowie mit Artikel 52, Absatz eins, der Charta der Grundrechte ist dahin auszulegen, dass er nationalen Rechtsvorschriften entgegensteht, die eine allgemeine Speicherfrist der PNR-Daten von fünf Jahren vorsehen, die unterschiedslos für alle Fluggäste gilt, einschließlich derjenigen, bei denen weder die Vorabüberprüfung nach Artikel 6, Absatz 2, Buchst. a der Richtlinie 2016/681 noch etwaige Überprüfungen während des in Artikel 12, Absatz 2, der Richtlinie genannten Zeitraums von sechs Monaten oder irgendein anderer Umstand objektive Anhaltspunkte geliefert haben, die eine Gefahr im Bereich terroristischer Straftaten oder schwerer Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit der Reise der Fluggäste belegen können.
6. Die Richtlinie 2004/82 ist dahin auszulegen, dass sie nicht für Linien- oder Gelegenheitsflüge einer Fluggesellschaft, die vom Hoheitsgebiet eines Mitgliedstaats aus starten und das Hoheitsgebiet eines oder mehrerer anderer Mitgliedstaaten zum Ziel haben, ohne Zwischenlandungen im Hoheitsgebiet eines Drittstaats (EU-Flüge), gilt.
7. Das Unionsrecht, insbesondere Art. 2 der Richtlinie 2016/681, ist im Licht von Art. 3 Abs. 2 EUV, Art. 67 Abs. 2 AEUV und Art. 45 der Charta der Grundrechte wie folgt auszulegen:7. Das Unionsrecht, insbesondere Artikel 2, der Richtlinie 2016/681, ist im Licht von Artikel 3, Absatz 2, EUV, Artikel 67, Absatz 2, AEUV und Artikel 45, der Charta der Grundrechte wie folgt auszulegen:
– Es steht nationalen Rechtsvorschriften entgegen, die, ohne dass der betreffende Mitgliedstaat mit einer realen und aktuellen oder vorhersehbaren terroristischen Bedrohung konfrontiert ist, ein System vorsehen, wonach die PNR-Daten aller EU-Flüge und aller Beförderungen mit anderen Mitteln innerhalb der Union aus diesem, in diesen oder durch diesen Mitgliedstaat zur Bekämpfung terroristischer Straftaten und schwerer Kriminalität von den Beförderungsunternehmen und den Reiseunternehmen übermittelt sowie von den zuständigen Behörden verarbeitet werden. In einer solchen Situation muss die Anwendung des durch die PNR-Richtlinie geschaffenen Systems auf die Übermittlung und Verarbeitung der PNR-Daten von Flügen und/oder Beförderungen beschränkt werden, die insbesondere bestimmte Verbindungen, bestimmte Reisemuster oder bestimmte Flughäfen, Bahnhöfe oder Seehäfen betreffen, für die es Anhaltspunkte gibt, die seine Anwendung rechtfertigen können. Es ist Sache des betreffenden Mitgliedstaats, die EU-Flüge und/oder die Beförderungen mit anderen Mitteln innerhalb der Union, für die es solche Anhaltspunkte gibt, auszuwählen und sie nach Maßgabe der Entwicklung der Bedingungen, die ihre Auswahl gerechtfertigt haben, regelmäßig zu überprüfen, um sicherzustellen, dass sich die Anwendung dieses Systems auf solche EU-Flüge und/oder Beförderungen stets auf das absolut Notwendige beschränkt.
– Es steht nationalen Rechtsvorschriften entgegen, die zum Zweck der Verbesserung der Grenzkontrollen und der Bekämpfung illegaler Einwanderung ein solches System der Übermittlung und Verarbeitung der genannten Daten vorsehen.
8. Das Unionsrecht ist dahin auszulegen, dass es ein nationales Gericht daran hindert, die Wirkungen einer ihm nach nationalem Recht obliegenden Feststellung der Rechtswidrigkeit nationaler Rechtsvorschriften, die – in einer Weise, die im Licht von Art. 3 Abs. 2 EUV, Art. 67 Abs. 2 AEUV sowie der Art. 7, 8 und 45 und von Art. 52 Abs. 1 der Charta der Grundrechte mit den Bestimmungen der Richtlinie 2016/681 unvereinbar ist – den Beförderungsunternehmen des Luft-, Schienen- und Landwegs und den Reiseunternehmen die Übermittlung von PNR-Daten vorschreiben sowie eine Verarbeitung und Speicherung dieser Daten vorsehen, zeitlich zu beschränken. Die Zulässigkeit der in dieser Weise erlangten Beweise unterliegt nach dem Grundsatz der Verfahrensautonomie der Mitgliedstaaten dem nationalen Recht, vorbehaltlich der Beachtung u. a. der Grundsätze der Äquivalenz und der Effektivität.“8. Das Unionsrecht ist dahin auszulegen, dass es ein nationales Gericht daran hindert, die Wirkungen einer ihm nach nationalem Recht obliegenden Feststellung der Rechtswidrigkeit nationaler Rechtsvorschriften, die – in einer Weise, die im Licht von Artikel 3, Absatz 2, EUV, Artikel 67, Absatz 2, AEUV sowie der Artikel 7,, 8 und 45 und von Artikel 52, Absatz eins, der Charta der Grundrechte mit den Bestimmungen der Richtlinie 2016/681 unvereinbar ist – den Beförderungsunternehmen des Luft-, Schienen- und Landwegs und den Reiseunternehmen die Übermittlung von PNR-Daten vorschreiben sowie eine Verarbeitung und Speicherung dieser Daten vorsehen, zeitlich zu beschränken. Die Zulässigkeit der in dieser Weise erlangten Beweise unterliegt nach dem Grundsatz der Verfahrensautonomie der Mitgliedstaaten dem nationalen Recht, vorbehaltlich der Beachtung u. a. der Grundsätze der Äquivalenz und der Effektivität.“
Die Vorabentscheidungsersuchen des Amtsgerichts Köln wurden – im Licht des oben genannten Urteils des EuGH – zurückgezogen und mit Beschluss vom 09.08.2022 aus dem Register des EuGH gestrichen.
9. Die Datenschutzbeschwerde des Beschwerdeführers, der angefochtene Bescheid sowie die Bescheidbeschwerde wurden der mitbeteiligten Partei im Rahmen des Parteiengehörs übermittelt und diese aufgefordert, bekanntzugeben, ob die Republik Österreich zum Zeitpunkt der Verarbeitung der personenbezogenen Daten des Beschwerdeführers mit einer realen und aktuellen oder vorhersehbaren terroristischen Bedrohung konfrontiert war.
10. Die mitbeteiligte Partei erstattete am 20.10.2022 eine Stellungnahme und führte aus, dass sich folgende Terroranschläge zeitnah in West- und Mitteleuropa ereignet hätten:
- 23.03.2018: Anschläge in Carcassonne und Trebes, islamistisch motiviert, vier tote und zahlreiche verletzte Personen.
- 11.12.2018: Anschlag in Straßburg (nahe Weihnachtsmarkt), islamistisch motiviert, fünf tote, 11 weitere, teils schwer verletzte Personen; Täter, auch in anderen europäischen Ländern mit Straftaten in Erscheinung getreten.
- 31.12.2018: Anschlag im Vereinigten Königreich, Manchester, islamistisch motiviert, mehrere Verletzte (Stichwunden).
- 01.01.2019: Anschläge in Deutschland, Bottrop, Essen, fuhr mit Auto in Menschen (Ausländer), mehrere, teils schwer verletzte Personen; zunächst als rechtsextremer Terroranschlag untersucht, erst im Dezember 2019 Täter mangelnde Schuldfähigkeit attestiert und eingewiesen.
Zudem wurde vorgebracht, dass es einen Anstieg der Jihadisten-Szene gegeben habe, wobei insbesondere in Österreich mehr als 300 „Rückkehrer“ aus den kampfführenden Gebieten im Irak und Syrien durch den Staatsschutz identifiziert worden seien, weshalb in ganz Europa von einer erhöhten Terrorwarnstufe auszugehen gewesen sei. Die Verarbeitung von Fluggastdaten im Rahmen von Flugbewegungen innerhalb der EU sei als wichtiges Instrument im Kontext gemeinsamer, europaweiter Terrorismusbekämpfung erachtet worden.
10. Das Bundeverwaltungsgericht verständigte den Beschwerdeführer sowie die belangte Behörde mit Schreiben vom 02.02.2023 von der Fortsetzung des Verfahrens und übermittelte die Stellungnahme der mitbeteiligten Partei sowie am 07.07.2023 weiters die Verfassungsschutzberichte 2018 und 2019 und ein Exzerpt der Niederschrift einer mündlichen Verhandlung des Bundesverwaltungsgerichts, die andere – gleich gelagerte – Parallelverfahren mit derselben mitbeteiligten Partei bezüglich der Verarbeitung von Fluggastdaten betraf, zur Kenntnis und Abgabe einer allfälligen Stellungnahme.
11. In der Folge langte jedoch keine weitere Stellungnahme beim Bundesverwaltungsgericht ein.
II. Das Bundesverwaltungsgericht hat erwogen: römisch II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Der unter Punkt I. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.Der unter Punkt römisch eins. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.
Die bei der mitbeteiligten Partei eingerichtete Fluggastdatenzentralstelle verarbeitete Fluggastdaten des Beschwerdeführers für die Flüge Wien-Brüssel und Brüssel Wien vom 22.08.2019 und 26.08.2019.
In seiner an die Datenschutzbehörde gerichteten Beschwerde vom 30.10.2019 machte der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG durch die mitbeteiligte Partei geltend.In seiner an die Datenschutzbehörde gerichteten Beschwerde vom 30.10.2019 machte der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG durch die mitbeteiligte Partei geltend.
Mit Bescheid der belangten Behörde vom 15.11.2019, DSB-D124.1634/0001-DSB/2019, wurde die Datenschutzbeschwerde des Beschwerdeführers als unbegründet abgewiesen.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem vorgelegten Verwaltungsakt sowie dem gegenständlichen Gerichtsakt und sind unstrittig.
3. Rechtliche Beurteilung:
3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. 3.1. Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß Paragraph 27, Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.). Gemäß Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.Gemäß Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Artikel 130, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.
Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. Gemäß Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.
3.2. Rechtsgrundlagen:
Die verfahrensrelevanten Bestimmungen der Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom 27.04.2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität (PNR-RL) lauten:
„Artikel 1
Gegenstand und Anwendungsbereich
(1) Diese Richtlinie regelt
a) die Übermittlung von Fluggastdatensätzen (PNR-Daten) zu Fluggästen von Drittstaatsflügen durch Fluggesellschaften;
b) die Verarbeitung von Daten gemäß Buchstabe a, unter anderem ihre Erhebung, Verwendung und Speicherung durch Mitgliedstaaten sowie den Austausch dieser Daten zwischen Mitgliedstaaten.
(2) Die nach Maßgabe dieser Richtlinie erhobenen PNR-Daten dürfen ausschließlich zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität gemäß Artikel 6 Absatz 2 Buchstaben a, b und c verarbeitet werden.
Artikel 2
Anwendung dieser Richtlinie auf EU-Flüge
(1) Ein Mitgliedstaat, der entscheidet, diese Richtlinie auf Flüge innerhalb der Europäischen Union (EU-Flüge) anzuwenden, teilt dies der Kommission schriftlich mit. Ein Mitgliedstaat kann eine solche Mitteilung jederzeit machen oder widerrufen. Die Kommission veröffentlicht diese Mitteilung und eventuelle Widerrufe derselben im Amtsblatt der Europäischen Union.
(2) Im Falle einer Mitteilung gemäß Absatz 1 gelten alle Bestimmungen dieser Richtlinie für EU-Flüge so, als handele es sich um Drittstaatsflüge, und für PNR-Daten zu EU-Flügen so, als handele es sich um PNR-Daten zu Drittstaatsflügen.
(3) Ein Mitgliedstaat kann beschließen, diese Richtlinie nur auf ausgewählte EU-Flüge anzuwenden. Der Mitgliedstaat wählt dabei diejenigen Flüge aus, die er für die Verfolgung der Ziele dieser Richtlinie für erforderlich hält. Der Mitgliedstaat kann jederzeit eine Änderung der von ihm ausgewählten EU-Flüge beschließen.
Artikel 3
Begriffsbestimmungen
Im Sinne dieser Richtlinie bezeichnet der Ausdruck […]
3. „EU-Flug“ jeden Linien- oder Gelegenheitsflug einer Fluggesellschaft, der vom Hoheitsgebiet eines Mitgliedstaats aus startet und das Hoheitsgebiet eines oder mehrerer anderer Mitgliedstaaten zum Ziel hat, ohne Zwischenlandungen im Hoheitsgebiet eines Drittstaats; […]
Artikel 7
Zuständige Behörden
(1) Jeder Mitgliedstaat erstellt eine Liste der zuständigen Behörden, die berechtigt sind, zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten oder schwerer Kriminalität PNR-Daten oder die Ergebnisse der Verarbeitung dieser Daten von den PNR-Zentralstellen anzufordern oder entgegenzunehmen, um sie einer weiteren Prüfung zu unterziehen oder um geeignete Maßnahmen zu veranlassen.“
Die
