Passenger Name Records (PNR)

Passenger Name Records sind umfangreiche Datensätze über Flugpassagiere. Verschiedene Repressionsorgane haben in verschiedener Weise auf diese Privat-Öffentlichen Daten Zugriff. Direkt geliefert werden sie momentan an die USA und verschiedene weitere Staaten zur "Terrorismusbekämpfung". Sofern sich bei der Analyse dort "Ergebnisse" finden, wird Europol informiert. Die EU arbeitet aber einem eigenen Analysesystem.

Von PNR zu unterscheiden sind die API-Daten. Dies sind typischerweise die Daten, die maschinenlesbar auf Identitätsdokumenten stehen (Name, Geburtsdatum, Staatsangehörigkeit) plus Daten zum Verkehrsmittel (etwa Flugnummer und -gesellschaft, Abflug- und Zielort). Im Vergleich zu den manuell erfassten PNR-Daten haben sie typischerweise höhere Qualität, weil frei von Tippfehlern und ähnlichem. Sie stehen aber erst nach dem Check-In zur Verfügung.

Geschichte

In chronologischer Reihenfolge, neuer Kram kommt unten hin

Kurz nach 9/11 wollen die USA PNR-Daten für Flüge in die USA und bekommen sei wohl auch. Es beginnen Verhandlungen, um diese Datenübertragungen und -speicherungen zu legalisieren. Auch UK, Kanada und Australien fangen an, mit PNR-Systemen zu experimentieren.

Wenig später beginnt in der EU die Diskussion über eigene europäische PNR-Systeme; Streitfragen sind die Architektur -- ein zentrales vs. ein PNR-System pro Mitgliedsstaat --, Umfang -- nur Flüge, die die Schengrenzen überschreiten, auch solche, die Staatengrenzen überschreiten, überhaupt alle Flüge oder auch noch gleich Schiffe und Züge --, Zweck -- reiner Terror oder auch verschiedene Sorten von Verbrechen oder Ordnungswidrigkeiten -- sowie nachrangig Datenschutzfragen wie Speicherfristen und Bestandteile des Datensatzes.

2003 legt die britische Regierung einen http://www.statewatch.org/news/2003/nov/10952.en03.pdf Forderungskatalog, der humanitäre Einsätze rechtfertigt hätte, im Jahr darauf gibt es dann einen ersten Richtlinienentwurf der spanischen Regierung. Die Monstrosität der Pläne sorgt für nachhaltige Ablehnung, wann immer funktionierende Gremien beschäftigt werden.

2007 steht die Association of European Airlines (mit Mitgliedern wie Lufthansa, BA, Air Fance oder KLM) auf und sprecht sich in einer Erklärung (bei statewatch gespiegelt) gegen die dann aktuellen Pläne aus. Ihre Skepsis bezieht sich aber nicht auf die bürgerrechtliche Implikationen, sondern nur darauf, dass sie in einem Modell mit PNR-Systemen der Einzelstaaten fürchterliche Bürokratie hätten.

Schließlich lehnt das EU-Parlament im November 2008 die Abstimmung über einen letzten Entwurf ab, was Hoffnungen nährte, der Spuk könnte vorüber sein.

Leider sterben Pläne zum Bürgerrechtsabbau nicht, und im Stockholm-Programm (vgl. Datenbanken EU#Fünfjahrespläne) kam ein eigenes EU-PNR-System als Wiedergänger.

Die Kommission hat daraufhin am 2.2.2011 Kommissionsdokument 2011/0023 vorgelegt, in dem vorgeschlagen wird, zur Bekämpfung aller möglichen Sorten von Kriminalität (neben politischer auch Drogen u.ä) PNR-Daten von Flügen, die über eine Schengen-Außengrenze führen.

Nicht faul, hat die UK-Delegation Ratsdokument 6359/11 nachgelegt, in dem PNR-Daten "for the prevention, detection, investigation and prosecution of terrorist offences and serious crime" auch dann verwendet werden sollen, wenn die Flüge innerhalb der EU stattfinden.

Im April 2011 stocken die Verhandlungen über die PNR-Übertragung in die USA, weil diese sich die Nutzung der PNR-Daten im Zusammenhang mit fast allen Verbrechen genehmigen wollen (statt bisher nur "Terrorismus") und dazu eine Speicherfrist von 22 Jahren vorsehen (statt bisher 15). Im Wissen, dass solche Maßnahmen in der EU kaum durchsetzbar sein werden, verweigert selbst die kaum als datenschutzfreundlich bekannte EU-Innenkommissarin "Zensilia" Malmström die Zustimmung.

USA, Kanada, Australien

Der Begriff PNR kam auf im Zusammenhang mit Übertragungen umfangreicher Datensätze in die USA (inzwischen auch auch Australien und Kanada). Im "Gegenzug" bekommen Europol und Eurojust Informationen aus den Erkenntnissen, welche die USA aus den PNR-Daten bekommen haben. Die PNR-Daten werden von den Empfängerländern unter Umständen über viele Jahre gespeichert, in den USA etwa beim Department of Homeland Security.

Datensatz

Im Brief an die EU-Kommission (Bundestagsdrucksache 16/6750, PDF-Seite 11) beschreibt das US-DHS den PNR-Datensatz wie folgt (die Datensätze für Australien und Kanada unterscheiden sich wohl nicht wesentlich):

• PNR-Buchungscode (Record Locator)
• Datum von Reservierung bzw. Ausgabe des Flugtickets
• Die vorgesehenen Reisedaten
• Passagiernamen
• Verfügbare Informationen über Vielflieger- und andere Bonusprogramme sowie weitere Rabatte
• Andere Namen innerhalb des PNR, einschließlich der Anzahl der Reisenden, die der PNR betrifft
• Alle verfügbaren Kontaktinformationen
• Alle verfügbaren Rechnungs- und Zahlungsinformationen, mit Ausnahme anderer Transaktionsdetails, die eine Kreditkarte betreffen und nicht mit den Reisetransaktionen zu tun haben
• Reiseablauf für den jeweiligen PNR
• Reisebüro, bei dem die Reise für den jeweiligen PNR gebucht wurde
• Informationen zu eventuellem Code-Sharing
• Informationen über die Splittung/Teilung einer Buchung
• Reisestatus des Passagiers, einschließlich von Buchungsbestätigungen und Informationen über den Check-in
• Ticket-Informationen einschließlich Flugscheinnummer, Infos über One-Way-Tickets und zur automatischen Tarifabfrage
• Alle Informationen über das aufgegebene Gepäck
• Informationen zum Sitzplatz einschließlich Sitzplatznummer
• Allgemeine Informationen, einschließlich aller Angaben zu Service-Anforderungen wie OSI (Special Service Requests) und SSI/SSR (Sensitive Security Information/Special Service Requests)

• Sofern erfasst und verkünpft, API-Daten (die überschneiden sich zwar in der Regel, sind aber weniger anfällig gegen Tippfehler, Schreibvarianten etc).

• Änderungsgeschichte des kompletten Datensatzes

Der zitierte Brief enthält auch folgenden Datenschutzbarock:

Soweit sensible EU-PNR-Daten (d. h. personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie Daten über Gesundheit oder Sexualleben einer Person) [...] in den oben genannten Arten von EU-PNR-Daten enthalten sind, verwendet das DHS ein automatisiertes System, das diese sensiblen PNR-Codes und -Bezeichnungen herausfiltert, und nutzt derartige Informationen nicht. Das DHS löscht die sensiblen EU-PNR-Daten unverzüglich, sofern nicht in einem Ausnahmefall (siehe folgenden Absatz) auf sie zugegriffen wird.

Die Ausnahmeklausel ist "Leben [...] gefährdet oder ernsthaft beeinträchtigt werden" -- was natürlich immer konstruierbar ist; dann ist auch der Zugriff auf weitere verfügbare Daten erlaubt. Immerhin soll das DHS, wenn es zusätzliche Daten dieser Art verwendet, etwas ernsthafter protokollieren und der EU-Kommission berichten, wenn es so etwas tut. Ob es einen solchen Bericht je gab, ist unbekannt; da allerdings die EU-Kommission als Wahrerin von Menschenrechten ohnehin kaum glaubwürdig ist, kommt es darauf vielleicht auch nicht an.

Speicherdauer

Die US-Behörden versprechen in einem Brief an die EU-Kommission (Bundestagsdrucksache 16/6750, PDF-Seite 13, Artikel VII) folgendes Verfahren: Die Daten werden in den USA generell 15 Jahre gespeichert, wobei nach sieben Jahre nur durch einen "hochrangigen, vom US-Heimatschutzminister benannten DHS-Beamten zugegriffen werden" können soll (der DHS-Jargon ist "ruhend"). Daten, die zu einer Ermittlung gehören, dürfen die US-Behörden weitgehend beiliebig speichern und verarbeiten.

Nach Darstellung des EU-Überblicks von 2010 (S. 18) werden in Kanada die Daten 72 Stunden aktiv und 3.5 Jahre ruhend, in Australien 3,5 Jahre aktiv und zwei Jahre ruhend gespeichert.

Bei all dem muss gesagt werden, dass die Verträge zu diesen Verfahren nichts sagen. Die Zahlen kommen bestenfalls aus relativ informellen Selbstverpflichtungen der Vertragspartner, die damit ihr "ausreichendes Datenschutzniveau" dokumentieren sollen. Das "Understanding", der Datenzugriff werde nicht mehr erlaubt, wenn die Regeln verletzt werden, ist indes hinfällig, wie das im EU-Überblick von 2010 (S. 17) erwähnte Faktum illustriert, das PNR-Abkommen mit Kanada bleibe in Kraft, obwohl die Kommission seit September 2009 nicht mehr von einem ausreichenden Datenschutzniveau in Kanada überzeugt sei.

Rechtsgrundlage

Rechtsgrundlage für die Übermittlung an Drittstaaten sind Vereinbarungen der EU-Kommission mit diesen Staaten und entsprechend BRD-Gesetze, für die Übertragungen in die USA etwa das "Gesetz zu dem Abkommen vom 26. Juli 2007 zwischen der Europäischen Union und den Vereinigten Staaten von Amerika über die Verarbeitung von Fluggastdatensätzen (Passenger Name Records – PNR) und deren Übermittlung durch die Fluggesellschaften an das United States Department of Homeland Security (DHS)", abgedruckt in Bundestagsdrucksache 16/6750.

Auf EU-Ebene ist das Analogon der (ausgerechnet vom schillernden Tom Ridge mitunterschriebenen) Vertrag mit den USA und entsprechende Dokumente für Kanada und Australien. Diese Verträge definieren allerdings kaum wirksam Rechte, Pflichten und Prozesse.

Die datenschutzrechtlich interessanten Vereinbarungen sind in begleitenden Briefwechseln enthalten; für die USA ist dieser in Bundestagsdrucksache 16/6750, S. 10ff zu finden. Dass diese quasi in Seitenprotokollen abgehandelt werden, lässt schon ahnen, dass sie eher Vorschlagscharakter haben, und das DHS ist kaum bekannt für behutsamen Umgang mit Menschenrechten.

EU-Pläne

Wie unter #Geschichte diskutiert, ringen die EU-Staaten schon seit kurz nach 9/11 mit sich, ob sie sich gegenseitig Menschenrechtsverletzungen des Kalibers PNR-Datamining zugestehen wollen.

Der aktuelle Vorschlag (Kommissionsdokument 2011/0023) sieht in etwa vor:

• Mitgliedsstaaten richten (gemeinsame oder getrennte) "Passenger Information Units" (PIU) ein, die die Daten von den Fluglinien über Flüge in oder aus nicht-AFSJ-Staaten von oder aus den nationalen Flughäfen sammelt, speichert, analyisert und die Analyseergebnisse an andere PIUs weitergibt. Auch pure Zwischenlandungen werden verarbeitet.
• Die Fluglinien "pushen" ihren kompletten Datensatz an die PIUs, jeweils 24 bis 48 Stunden vor dem Start und nochmal nachdem das Gate geschlossen wurde. Wenn sie wollen, können PIUs auch Bedrohungen erfinden und dann zu beliebigen Zeiten von ein Fluglinien "pullen".

• Die PIUs sollen die Daten beackern und mit nationalen Datenbanken abgleichen, um Menschen zu finden, die von den Repressionsorganen genauer untersucht werden sollen, weil sie irgendetwas ("involved in") zu tun haben könnten mit "Terrorismus" oder "serious crime" sowie im Kriterien zu erarbeiten, die die Identifikation solcher Menschen erlauben.

• Die PIUs dürfen in überschaubarer Menge ("duly reasoned") PNR-Daten von anderen PIUs anfordern. Sie dürfen Analyseergebnisse fallweise an nationale Behörden übertragen und sollen PNR-Daten an andere PIUs weitergeben, wenn sie meinen, sie gingen diese etwas an.
• Die PIUs dürfen PNR-Daten fallweise ins Ausland weitergeben.

• Die Speicherfirst für die vollen PNR-Daten ist fünf Jahre, wobei aber bei Menschen, bei denen die PIU nichts findet, nach 30 Tagen Daten, die für die Kommission eine Identifkation ermöglichen (Namen, Adressen, Kontaktinformationen, Freitext, API-Daten), "maskiert" werden sollen. Diese "maskierten" Daten sollen nur einer "beschränkten Zahl" von MitarbeiterInnen zugänglich sein, deanonymisieren können soll nur der Chef der PIU. Personenbezogene Daten können drei Jahre gespeichert werden, um falsch positive Fälle bei späterem Antreffen schneller zu erkennen.

Der PNR selbst sieht nach 2011/0023 so aus:

1. PNR record locator
2. Date of reservation/issue of ticket
3. Date(s) of intended travel
4. Name(s)
5. Address and contact information (telephone number, e-mail address)
6. All forms of payment information, including billing address
7. Complete travel itinerary for specific PNR
8. Frequent flyer information
9. Travel agency/travel agent
10. Travel status of passenger, including confirmations, check-in status, no show or go show information
11. Split/divided PNR information
12. General remarks (including all available information on unaccompanied minors under 18 years, such as name and gender of the minor, age, language(s) spoken, name and contact details of guardian on departure and relationship to the minor, name and contact details of guardian on arrival and relationship to the minor, departure and arrival agent)
13. Ticketing field information, including ticket number, date of ticket issuance and one-way tickets, Automated Ticket Fare Quote fields
14. Seat number and other seat information
15. Code share information
16. All baggage information
17. Number and other names of travellers on PNR
18. Any Advance Passenger Information (API) data collected
19. All historical changes to the PNR listed in numbers 1 to 18

Die Kommission sieht das als "fully in line with the overall objective of creating a European area of freedom, security and justice" (S. 8) -- dabei ist ihr kaum zu widersprechen.

Daneben gibt es Pläne für ein Entry-Exit-System für (biometrische) Flugastdaten in und aus Drittländer, welches die EU-Komission ganz offen als Mittel zur Detektion von illegaler Migration vorschlägt. Diese würde allerdings EU-BürgerInnen nach gegenwärtigem Planungsstand nicht betreffen.

Geheimdienste

Nach Regelungen aus dem Ottokatalog dürfen die Geheimdienste Fluglinien und Reeder nach ihren Passagieren befragen, was letztlich auch eine Art PNR-Verfahren (allerdings auf kleiner Flamme) ist. Laut Heise-Newsticker bekam das PKGr die Information über vier Anfragen des BfV an Fluglinien im Jahre 2009.

Weitere Infos

• Datenschutzbeuaftragter Online: Fluggastdaten ein Überblick

• Heise-Newsticker: Heikle Hilfestellung zur Weitergabe von Fluggastdaten

• Heise-Newsticker: EU-Staaten sollen Flugpassagierdaten 13 Jahre lang speichern

• Zeit-Artikel: In dieser Datenbank steht, wer mit wem schläft

• Gemeinsame Auswertung der PNR-Transfers in die USA

• Weblog gegen PNR in Staatshand: http://www.nopnr.org/

"Ergebnisse"

"Düsseldorfer Zelle"

Drei Personen (zwei aus Marokko, eine Iranischstämmiger), die 2011 in Düsseldorf festgenommen wurden, weil sie mit Grillanzünder, Wasserstoffperoxid und Zitronensäure hantierten und dafür zur "Düsseldorfer Zelle" erklärt wurden (<a href="http://www.nzz.ch/nachrichten/politik/international/deutschland_einmal_mehr_im_visier_der_kaida_1.10444890.html">NZZ dazu</a>), sollen laut Innenminister Friedrich aufgrund von PNR-Auswertungen in den USA "identifiziert" worden sein (<a href="http://www.nzz.ch/nachrichten/politik/international/friedrich_passagierdaten_duesseldorfer_terrorzelle_1.10492454.html">NZZ dazu</a>). Angesichts dieser mindestens dreifach verschachtelten Propagandaaktion <a href="http://blog.fefe.de/?ts=b33d165b">kommentierte Fefes Blog</a>:

Mich ärgert ja nicht so sehr, dass die uns zu manipulieren versuchen, sondern dass sie es so offensichtlich und platt tun. Haben die kein Selbstwertgefühl, dass die solchen Pfusch abliefern?

Weiteres

• Eine gute Übersicht über den bisherigen Verlauf der EU-PNR-Planungen gibt das PNR Observatory von statewatch

• PNR-Kampagne des AK Vorrat

• API diskutiert die verwandten Daten für Advance Passenger Information-Systeme.