RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum28.04.2025 GeschäftszahlW258 2224229-1 Spruch, W258 2224229-1/32E W258 2272818-1/22EW258 2272820-1/22E W258 2272818-1/22E, W258 2272820-1

§ 1

Abs 1 DSG und in die ihnen durch Art 8 EMRK sowie Art 7 und 8 GRC gewährten Rechte verletzt hat,„Den Beschwerden wird Folge gegeben und festgestellt, dass die Beschwerdegegnerin in ihrem Recht auf Geheimhaltung

Paragraph eins, Absatz eins, DSG und in die ihnen durch Artikel 8, EMRK sowie Artikel 7 und 8 GRC gewährten Rechte verletzt hat, 1.) den Erstbeschwerdeführer, indem sie ohne Rechtsgrundlage a.) ihn betreffende Fluggastdaten iSd § 3 Abs 1 PNR-G verarbeitet hat, nämlich jeweils beginnend zumindest 24 Stunden vor dem Flugdatum zu den Flügena.) ihn betreffende Fluggastdaten iSd Paragraph 3, Absatz eins, PNR-G verarbeitet hat, nämlich jeweils beginnend zumindest 24 Stunden vor dem Flugdatum zu den Flügen Flug-datum -uhrzeit -strecke -nummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 TXL-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 BRU-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 BSL-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-BRU XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-LYS XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 NCE-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-TXL XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 TXL-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-ATH XXXX römisch 40 Aegean Airlines XXXX römisch 40 XXXX römisch 40 ATH-VIE XXXX römisch 40 Aegean Airlines XXXX römisch 40 XXXX römisch 40 AMS-VIE XXXX römisch 40 Austrian Airlines und b.) einen beim Abgleich der ihn betreffenden Fluggastdaten erhaltenen Treffer iSd § 4 Abs 3 PNR-G verarbeitet hat, nämlich zu dem Flugb.) einen beim Abgleich der ihn betreffenden Fluggastdaten erhaltenen Treffer iSd Paragraph 4, Absatz 3, PNR-G verarbeitet hat, nämlich zu dem Flug Flug-datum -uhrzeit -strecke -nummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 TXL-VIE XXXX römisch 40 Austrian Airlines sowie 2.) die Zweit- bis Siebentbeschwerdeführer:innen, indem sie ohne Rechtsgrundlage sie betreffende Fluggastdaten iSd § 3 Abs 1 PNR-G verarbeitet hat, nämlich jeweils beginnend zumindest 24 Stunden vor dem Flugdatum zu den Flügen2.) die Zweit- bis Siebentbeschwerdeführer:innen, indem sie ohne Rechtsgrundlage sie betreffende Fluggastdaten iSd Paragraph 3, Absatz eins, PNR-G verarbeitet hat, nämlich jeweils beginnend zumindest 24 Stunden vor dem Flugdatum zu den Flügen a.) hinsichtlich des Zweitbeschwerdeführers: Flug-datum -uhrzeit -strecke -nummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 VIE-JFK XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 IAD-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-BRU XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 BRU-VIE XXXX römisch 40 Austrian Airlines b.) hinsichtlich der Drittbeschwerdeführerin: Flug-datum -uhrzeit -strecke -nummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 MUC-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-VNO XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 WAW-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-FRA XXXX römisch 40 Lufthansa XXXX römisch 40 XXXX römisch 40 FRA-VIE XXXX römisch 40 Lufthansa c.) hinsichtlich des Viertbeschwerdeführers: Flug-datum -uhrzeit -strecke -nummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 BEG-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-AMS XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 AMS-VIE XXXX römisch 40 Austrian Airlines d.) hinsichtlich der Fünftbeschwerdeführerin: Flug-datum -uhrzeit -strecke -nummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 VIE-BRU XXXX römisch 40 Brussels Airlines XXXX römisch 40 XXXX römisch 40 BRU-VIE XXXX römisch 40 Austrian Airlines e.) hinsichtlich der Sechstbeschwerdeführerin: Flug-datum -uhrzeit -strecke -nummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 VIE-CHP XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 CHP-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-ARN XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 ARN-VIE XXXX römisch 40 Austrian Airlines f.) und hinsichtlich des Siebentbeschwerdeführers: Flug-datum -uhrzeit -strecke -nummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 VIE-TXL XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 TXL-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 BRU-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-CGN XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 CGN-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-BRU XXXX römisch 40 Brussels Airlines XXXX römisch 40 XXXX römisch 40 BRU-VIE XXXX römisch 40 Brussels Airlines indem sie die Daten i. bis zum 21.06.2022 zum Zweck der Vorbeugung, Verhinderung und Aufklärung von mit gerichtlicher Strafe bedrohten Handlungen verarbeitet hat, die in keinem – zumindest mittelbaren – objektiven Zusammenhang mit der Beförderung von Fluggästen stehen und ii. länger als sechs Monate verarbeitet hat, obwohl keine objektiven Anhaltspunkte bestanden haben, die eine Gefahr im Bereich terroristischer Straftaten oder schwerer Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit der Reise der Fluggäste belegen hätten können.“. 3.) Der Bescheid hinsichtlich des Achtbeschwerdeführers wird abgeändert, dass es insgesamt zu lauten hat: „Der Beschwerde wird Folge gegeben und festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung

§ 1

Abs 1 DSG und in die ihm durch Art 8 EMRK sowie Art 7 und 8 GRC gewährten Rechte verletzt hat, als sie ohne Rechtsgrundlage ihn betreffende Fluggastdaten iSd § 3 Abs 1 PNR-G verarbeitet hat, nämlich zu den Flügen„Der Beschwerde wird Folge gegeben und festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung

Paragraph eins, Absatz eins, DSG und in die ihm durch Artikel 8, EMRK sowie Artikel 7 und 8 GRC gewährten Rechte verletzt hat, als sie ohne Rechtsgrundlage ihn betreffende Fluggastdaten iSd Paragraph 3, Absatz eins, PNR-G verarbeitet hat, nämlich zu den Flügen Flug-datum -uhrzeit -strecke -nummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 HAM-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-HAM XXXX römisch 40 Austrian Airlines indem sie die Daten a.) bis zum 21.06.2022 zum Zweck der Vorbeugung, Verhinderung und Aufklärung von mit gerichtlicher Strafe bedrohten Handlungen verarbeitet hat, die in keinem – zumindest mittelbaren – objektiven Zusammenhang mit der Beförderung von Fluggästen stehen und b.) länger als sechs Monate verarbeitet hat, obwohl keine objektiven Anhaltspunkte bestanden haben, die eine Gefahr im Bereich terroristischer Straftaten oder schwerer Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit der Reise der Fluggäste belegen hätten können.“. B) Die Revision ist

Art 133

Abs 4 B-VG zulässig.B) Die Revision ist

Artikel 133, Absatz 4, B-VG zulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: Verfahrensgegenständlich ist die Frage, ob die mitbeteiligte Partei die Beschwerdeführer:innen dadurch in ihrem Recht auf Geheimhaltung verletzt hat, indem die mitbeteiligte Partei über die Fluggastdatenzentralstelle sie betreffende personenbezogener Daten zu Flugreisen auf Grundlage des PNR-Gesetzes (PNR-G) verarbeitet hat. I. Verfahrensgang:römisch eins. Verfahrensgang:

1. Mit Eingaben vom 17.08.2019 (Erst- bis SechstbeschwerdeführerInnen), 20.08.2019 (Siebentbeschwerdeführer) und 05.10.2019 (Achtbeschwerdeführer) erhoben die beschwerdeführenden Parteien jeweils Datenschutzbeschwerde an die belangte Behörde und stellten den Antrag, die belangte Behörde möge feststellen, sie seien durch die Verarbeitung sie betreffender personenbezogener Daten durch die Fluggastdatenzentralstelle auf Grundlage des PNR-Gesetzes (PNR-G) in ihrem Grundrecht auf Geheimhaltung und Datenschutz iSd § 1 DSG sowie Art 8 der Europäischen Menschenrechtskonvention (EMRK) und Art 7 und 8 der Charta der Grundrechte der Europäischen Union (GRC) verletzt worden. Das PNR-G erweise sich am Maßstab des § 1 DSG und des Art 8 EMRK sowie Art 7 und 8 GRC als verfassungswidrig, die Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom
2. April 2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität (PNR-RL) erweise sich insbesondere am Maßstab des Art 7 und 8 GRC als nichtig bzw ungültig.
3. Mit Eingaben vom 17.08.2019 (Erst- bis SechstbeschwerdeführerInnen), 20.08.2019 (Siebentbeschwerdeführer) und 05.10.2019 (Achtbeschwerdeführer) erhoben die beschwerdeführenden Parteien jeweils Datenschutzbeschwerde an die belangte Behörde und stellten den Antrag, die belangte Behörde möge feststellen, sie seien durch die Verarbeitung sie betreffender personenbezogener Daten durch die Fluggastdatenzentralstelle auf Grundlage des PNR-Gesetzes (PNR-G) in ihrem Grundrecht auf Geheimhaltung und Datenschutz iSd Paragraph eins, DSG sowie Artikel 8, der Europäischen Menschenrechtskonvention (EMRK) und Artikel 7 und 8 der Charta der Grundrechte der Europäischen Union (GRC) verletzt worden. Das PNR-G erweise sich am Maßstab des Paragraph eins, DSG und des Artikel 8, EMRK sowie Artikel 7 und 8 GRC als verfassungswidrig, die Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom
4. April 2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität (PNR-RL) erweise sich insbesondere am Maßstab des Artikel 7 und 8 GRC als nichtig bzw ungültig.
5. Hinsichtlich der Erst- bis Siebentbeschwerdeführer:innen mit Bescheid vom XXXX , Zl XXXX , und hinsichtlich des Achtbeschwerdeführers mit Bescheid vom XXXX , XXXX , wies die Datenschutzbehörde die zur gemeinsamen Entscheidung verbundenen Datenschutzbeschwerden der Beschwerdeführer:innen ab. Begründend führte sie zusammengefasst und sinngemäß aus, die Verarbeitung der personenbezogenen Daten der Beschwerdeführer:innen durch die Fluggastdatenzentralstelle sei ausdrücklich durch das PNR-G gesetzlich vorgesehen und falle somit unter einen zulässigen Eingriffstatbestand

§ 1Abs 2 DSG.2.

Hinsichtlich der Erst- bis Siebentbeschwerdeführer:innen mit Bescheid vom römisch 40 , Zl römisch 40 , und hinsichtlich des Achtbeschwerdeführers mit Bescheid vom römisch 40 , römisch 40 , wies die Datenschutzbehörde die zur gemeinsamen Entscheidung verbundenen Datenschutzbeschwerden der Beschwerdeführer:innen ab. Begründend führte sie zusammengefasst und sinngemäß aus, die Verarbeitung der personenbezogenen Daten der Beschwerdeführer:innen durch die Fluggastdatenzentralstelle sei ausdrücklich durch das PNR-G gesetzlich vorgesehen und falle somit unter einen zulässigen Eingriffstatbestand

Paragraph eins, Absatz 2, DSG.

1. Gegen diese Bescheide richten sich die gegenständlichen Beschwerden, hinsichtlich der Erst- bis Siebentbeschwerdeführer:innen vom 03.10.2019 und hinsichtlich des Achtbeschwerdeführers vom 28.11.2019, wegen unrichtiger rechtlicher Beurteilung und Rechtswidrigkeit; entgegen der Meinung der belangten Behörde sei die Datenverarbeitung durch die Fluggastdatenzentralstelle aus mehreren Gründen unzulässig: ● Die PNR-RL sei mit Art 7 und 8 sowie Art 52 der GRC nicht vereinbar. Die verdachtsunabhängige und automatisierte Speicherung und Verarbeitung von Datensätzen einer großen Anzahl von Personen gehe über das „absolut Notwendige“ hinaus und sei nicht verhältnismäßig. Die PNR-RL sei mit Artikel 7 und 8 sowie Artikel 52, der GRC nicht vereinbar. Die verdachtsunabhängige und automatisierte Speicherung und Verarbeitung von Datensätzen einer großen Anzahl von Personen gehe über das „absolut Notwendige“ hinaus und sei nicht verhältnismäßig. ● Die PNR-RL werde durch das PNR-G und dessen Anhang nicht vollständig umgesetzt, weil das PNR-G keine (konkrete) Regelungen zur Durchführung einer individuellen, nicht-automatisierten Überprüfung der Treffer iSd Art 6 Abs 5 PNR-RL enthält. Die PNR-RL werde durch das PNR-G und dessen Anhang nicht vollständig umgesetzt, weil das PNR-G keine (konkrete) Regelungen zur Durchführung einer individuellen, nicht-automatisierten Überprüfung der Treffer iSd Artikel 6, Absatz 5, PNR-RL enthält. ● Der von der PNR-RL umfasste Anwendungsbereich werde durch § 1 Abs 1 PNR-G und den Anhang zum PNR-G mangelhaft umgesetzt, weil die Liste von Straftaten, zu deren Bekämpfung die PNR-Daten nach dem PNR-G verarbeitet werden dürfen, über die in der PNR-RL genannten hinausgehe. Das PNR-G verletze auch das Bestimmtheitsgebot, weil den im PNR-G genannten Kategorien von Straftaten die konkreten Straftatbestände nicht eindeutig zugeordnet werden können. Der von der PNR-RL umfasste Anwendungsbereich werde durch Paragraph eins, Absatz eins, PNR-G und den Anhang zum PNR-G mangelhaft umgesetzt, weil die Liste von Straftaten, zu deren Bekämpfung die PNR-Daten nach dem PNR-G verarbeitet werden dürfen, über die in der PNR-RL genannten hinausgehe. Das PNR-G verletze auch das Bestimmtheitsgebot, weil den im PNR-G genannten Kategorien von Straftaten die konkreten Straftatbestände nicht eindeutig zugeordnet werden können. ● Die in § 2 Abs 5 PNR-G enthaltene Verordnungsermächtigung des Bundesministers für Inneres erweise sich als verfassungswidrig und damit die auf ihrer Basis erlassene Verordnung des Bundesministers für Inneres (PNR-VO, BGBI. II 208/2018 idF BGBI. II 237/2019) als gesetzwidrig, weil die Verordnungsermächtigung keine Kriterien nenne, an denen sich der Verordnungsgeber zu orientieren hat und vor dem Hintergrund des § 1 DSG und Art 8 EMRK die durch sie geschehenden Eingriffe unverhältnismäßig seien. Die in Paragraph 2, Absatz 5, PNR-G enthaltene Verordnungsermächtigung des Bundesministers für Inneres erweise sich als verfassungswidrig und damit die auf ihrer Basis erlassene Verordnung des Bundesministers für Inneres (PNR-VO, BGBI. römisch zwei 208 aus 2018, in der Fassung BGBI. römisch zwei 237 aus 2019,) als gesetzwidrig, weil die Verordnungsermächtigung keine Kriterien nenne, an denen sich der Verordnungsgeber zu orientieren hat und vor dem Hintergrund des Paragraph eins, DSG und Artikel 8, EMRK die durch sie geschehenden Eingriffe unverhältnismäßig seien. ● Letztens sei § 2 Abs 4 PNR-G nicht vollständig durch die PNR-RL gedeckt, zumal es Zollbehörden und Nachrichtendienste am Informationssystem beteiligte.  Letztens sei Paragraph 2, Absatz 4, PNR-G nicht vollständig durch die PNR-RL gedeckt, zumal es Zollbehörden und Nachrichtendienste am Informationssystem beteiligte.
2. Die belangte Behörde legte die Bescheidbeschwerden unter Anschluss des Verwaltungsaktes hinsichtlich der Erst- bis Siebentbeschwerdeführer:innen mit Schriftsatz vom 09.10.2019 und hinsichtlich des Achtbeschwerdeführers vom 11.12.2019, hg eingelangt jeweils am selben Tag, dem erkennenden Gericht vor.
3. Mit Beschluss vom 04.05.2020 setzte das erkennende Gericht das Verfahren

§ 17Vw

GVG iVm 38 AVG bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union über die mit Entscheid des Belgischen Verfassungsgerichtshofs vom 17.10.2019, Nr 135/2019, sowie über die mit Beschlüssen des Amtsgerichts Köln vom 20.01.2020, zu den Zlen 142 C 328/19, 142 C 329/19 und 142 C 330/19, jeweils vorgelegten Fragen aus.5. Mit Beschluss vom 04.05.2020 setzte das erkennende Gericht das Verfahren

Paragraph 17, VwGVG in Verbindung mit 38 AVG bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union über die mit Entscheid des Belgischen Verfassungsgerichtshofs vom 17.10.2019, Nr 135 aus 2019,, sowie über die mit Beschlüssen des Amtsgerichts Köln vom 20.01.2020, zu den Zlen 142 C 328/19, 142 C 329/19 und 142 C 330/19, jeweils vorgelegten Fragen aus.

1. Der Europäische Gerichtshof erließ am 21.06.2022 in der Rechtssache C‑817/19 ein Urteil betreffend das vom belgischen Verfassungsgerichtshof eingereichte Vorabentscheidungs-ersuchen nach Art 267 AEUV und setzte sich in diesem unter anderem mit Auslegung und Gültigkeit der PNR-RL sowie deren Vereinbarkeit mit dem EU-Primärrecht auseinander.
2. Der Europäische Gerichtshof erließ am 21.06.2022 in der Rechtssache C‑817/19 ein Urteil betreffend das vom belgischen Verfassungsgerichtshof eingereichte Vorabentscheidungs-ersuchen nach Artikel 267, AEUV und setzte sich in diesem unter anderem mit Auslegung und Gültigkeit der PNR-RL sowie deren Vereinbarkeit mit dem EU-Primärrecht auseinander.
3. Mit Stellungnahme vom 22.05.2023 brachten die Erst- bis Fünftbeschwerdeführer:innen und der Siebentbeschwerdeführer ua ergänzend vor, aus dem EuGH Urteil folge, dass das PNR-G die PNR-RL verletze, zumal ● es nicht auf schwere Kriminalität beschränkt sei, ● keine Verknüpfung der strafbaren Handlung mit Flugverkehr voraussetze, ● die unbegründete Erfassung von EU-Flügen ermögliche, ● keine Begrenzung der inhaltlichen Anforderungen an die Abgleich-Datenbanken sowie keine unabhängige Kontrolle nachträglicher Überprüfungen vorsehe und ● eine zu lange Speicherdauer vorsehe. Darüber hinaus sei die PNR-RL ungültig. Zwar habe der EuGH ausgesprochen, dass die Übermittlung und Vorabüberprüfung der PNR-Daten nicht auf einen bestimmten Kreis von Fluggästen beschränkt werden könne. Er habe sich aber nicht mit der Frage auseinandersetzt, ob die Übermittlung und Vorabüberprüfung der PNR-Daten auf einen bestimmten Kreis von Flügen beschränkt werden könne, die nach Art 7 und 8 der Charta geboten wäre.Darüber hinaus sei die PNR-RL ungültig. Zwar habe der EuGH ausgesprochen, dass die Übermittlung und Vorabüberprüfung der PNR-Daten nicht auf einen bestimmten Kreis von Fluggästen beschränkt werden könne. Er habe sich aber nicht mit der Frage auseinandersetzt, ob die Übermittlung und Vorabüberprüfung der PNR-Daten auf einen bestimmten Kreis von Flügen beschränkt werden könne, die nach Artikel 7 und 8 der Charta geboten wäre.
4. Am 24.05.2023 wurde über die Angelegenheit mündlich verhandelt. Beweis wurden erhoben durch Einsichtnahme in ● den Verwaltungsakt, ● die Verfassungsschutzberichte 2018 und 2019 des Bundesamtes für Verfassungsschutz und Terrorismusbekämpfung, ● den Einführungserlass über die Einrichtung einer Fluggastdatenzentralstelle („Passenger Information Unit – PIU“) im Bundeskriminalamt, GZ BMI-KP1000/0677-II/BK/2/2018, vom 04.12.2018, ● Information zu der Verarbeitung „von Fluggastdaten (PNR-Daten) in der PNR-Datenbank“

§ 43

Datenschutzgesetz (DSG), Stand 28.03.2019, Information zu der Verarbeitung „von Fluggastdaten (PNR-Daten) in der PNR-Datenbank“

Paragraph 43, Datenschutzgesetz (DSG), Stand 28.03.2019, ● die Information des BMI zu den Datenbanken des BMI, insbesondere auch „PFX“, https://www.bmi.gv.at/magazin/2023_09_10/40_E_Government.aspx, zuletzt abgerufen am 04.04.2025, ● die Information des BMI zu den Rechtsgrundlagen diverser im EKIS zusammengefasster Datenbanken, wie die Personenfahndungsdatei, https://www.bmi.gv.at/402/ekis.aspx, zuletzt abgerufen am 04.04.2025, ● die „Constitution of the ICPO-INTERPOL [I/CONS/GA/1956

§ 1

Abs 2 PNR-G eingerichtete Fluggastdatenzentralstelle (Passenger Information Unit -PIU) hat zum Zwecke der Vorbeugung, Verhinderung und Aufklärung von mit gerichtlicher Strafe bedrohten Handlungen

§ 165Abs 3 zweiter Fall, §§ 278b bis 278f und § 282a St

GB, sowie solchen mit gerichtlicher Strafe bedrohten Handlungen, die einer der im Anhang angeführten Kategorien zuzuordnen und mit einer Freiheitsstrafe, deren Obergrenze mindestens drei Jahre beträgt, bedroht sind, wobei eine Einschränkung auf solche Straftaten, die in einem zumindest mittelbaren objektiven Zusammenhang mit der Beförderung von Fluggästen stehen bis zum 21.06.2022 nicht erfolgt ist, die folgenden Informationen über die Beschwerdeführer:innen verarbeitet:Die

Paragraph eins, Absatz 2, PNR-G eingerichtete Fluggastdatenzentralstelle (Passenger Information Unit -PIU) hat zum Zwecke der Vorbeugung, Verhinderung und Aufklärung von mit gerichtlicher Strafe bedrohten Handlungen

Paragraph 165, Absatz 3, zweiter Fall, Paragraphen 278 b bis 278 f und Paragraph 282 a, StGB, sowie solchen mit gerichtlicher Strafe bedrohten Handlungen, die einer der im Anhang angeführten Kategorien zuzuordnen und mit einer Freiheitsstrafe, deren Obergrenze mindestens drei Jahre beträgt, bedroht sind, wobei eine Einschränkung auf solche Straftaten, die in einem zumindest mittelbaren objektiven Zusammenhang mit der Beförderung von Fluggästen stehen bis zum 21.06.2022 nicht erfolgt ist, die folgenden Informationen über die Beschwerdeführer:innen verarbeitet: 1.1.

1. Hinsichtlich des BF1: In der PNR-Datenbank: Datum Uhrzeit Strecke Flugnummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 TXL-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 BRU-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 BSL-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-BRU XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-LYS XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 NCE-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-TXL XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 TXL-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-ATH XXXX römisch 40 Aegean Airlines XXXX römisch 40 XXXX römisch 40 ATH-VIE XXXX römisch 40 Aegean Airlines XXXX römisch 40 XXXX römisch 40 AMS-VIE XXXX römisch 40 Austrian Airlines In der Trefferverwaltung/administratives Workflowsystem: Datum Uhrzeit Strecke Flugnummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 TXL-VIE XXXX römisch 40 Austrian Airlines 1.1.
2. Hinsichtlich des BF2: In der PNR-Datenbank: Datum Uhrzeit Strecke Flugnummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 VIE-JFK XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 IAD-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-BRU XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 BRU-VIE XXXX römisch 40 Austrian Airlines 1.1.
3. Hinsichtlich der BF3: In der PNR-Datenbank: Datum Uhrzeit Strecke Flugnummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 MUC-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-VNO XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 WAW-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-FRA XXXX römisch 40 Lufthansa XXXX römisch 40 XXXX römisch 40 FRA-VIE XXXX römisch 40 Lufthansa 1.1.
4. Hinsichtlich des BF4: In der PNR-Datenbank: Datum Uhrzeit Strecke Flugnummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 BEG-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-AMS XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 AMS-VIE XXXX römisch 40 Austrian Airlines 1.1.
5. Hinsichtlich der BF5: In der PNR-Datenbank: Datum Uhrzeit Strecke Flugnummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 VIE-BRU XXXX römisch 40 Brussels Airlines XXXX römisch 40 XXXX römisch 40 BRU-VIE XXXX römisch 40 Austrian Airlines 1.1.
6. Hinsichtlich der BF6: In der PNR-Datenbank: Datum Uhrzeit Strecke Flugnummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 VIE-CHP XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 CHP-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-ARN XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 ARN-VIE XXXX römisch 40 Austrian Airlines 1.1.
7. Hinsichtlich des BF7: In der PNR-Datenbank: Datum Uhrzeit Strecke Flugnummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 VIE-TXL XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 TXL-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 BRU-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-CGN XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 CGN-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-BRU XXXX römisch 40 Brussels Airlines XXXX römisch 40 XXXX römisch 40 BRU-VIE XXXX römisch 40 Brussels Airlines 1.1.
8. Hinsichtlich des BF8: In der PNR-Datenbank: Datum Uhrzeit Strecke Flugnummer Luftfahrtunternehmen XXXX römisch 40 XXXX römisch 40 HAM-VIE XXXX römisch 40 Austrian Airlines XXXX römisch 40 XXXX römisch 40 VIE-HAM XXXX römisch 40 Austrian Airlines 1.
9. Zur Verarbeitung der Daten: Die Fluggastdatenzentralstelle hat die Daten von den jeweiligen Fluggesellschaften erhalten und mit den Datenbanken SIS II, ASF, bei der es sich um eine Datenbank von INTERPOL zur Personenfahndung handelt, und PFX (Personenfahndung, Personeninformation – IAP), bei der es sich um eine nationale Datenbank zur Ausschreibung abgängiger oder vermisster Personen

§ 57Sicherheitspolizeigesetz i

Vm § 169 Abs 1 Strafprozessordnung, sowie gestohlener Sachen handelt, abgeglichen.Die Fluggastdatenzentralstelle hat die Daten von den jeweiligen Fluggesellschaften erhalten und mit den Datenbanken SIS römisch zwei, ASF, bei der es sich um eine Datenbank von INTERPOL zur Personenfahndung handelt, und PFX (Personenfahndung, Personeninformation – IAP), bei der es sich um eine nationale Datenbank zur Ausschreibung abgängiger oder vermisster Personen

Paragraph 57, Sicherheitspolizeigesetz in Verbindung mit Paragraph 169, Absatz eins, Strafprozessordnung, sowie gestohlener Sachen handelt, abgeglichen. Der Abgleich ergab hinsichtlich des Erstbeschwerdeführers einen und hinsichtlich der Zweit- bis Achtbeschwerdeführer:innen keine Treffer. Die Fluggastdatenzentralstelle hat den Treffer hinsichtlich des Erstbeschwerdeführers individuell und nicht automationsunterstützt geprüft. Sie hat im Rahmen der Prüfung aber weder analysiert, ob die strafbare Handlung, die in dem Datenbankeintrag enthalten war, der dem Treffer zu Grunde gelegen ist, im Zusammenhang mit Flügen steht, noch hat sie Kriterien für ihre Sachbearbeiter:innen aufgestellt, wonach sie eine solche Analyse durchzuführen haben. Die Fluggastdatenzentralstelle hat die Daten spätestens 24 Stunden vor dem Tag des jeweiligen Fluges erhalten, sie sechs Monaten nach ihrem Erhalt depersonalisiert und fünf Jahre nach ihrem Erhalt gelöscht. 1.3. Zu den rechtlichen Grundlagen der Datenbank ASF: 1.3.1. Die zu den Verarbeitungszeitpunkten maßgeblichen Bestimmungen der „INTERPOL’s Rules on the Processing of Data“, [III/IRPD/GA/2011

§ 43

DSG erteilten öffentlichen Information hinsichtlich der Verarbeitung von Fluggastdaten, in welcher der Wortlaut des in § 1 Abs 1 PNR-G genannten Verarbeitungszweckes übernommen worden ist (Information zu der Verarbeitung „von Fluggastdaten (PNR-Daten) in der PNR-Datenbank“

§ 43Datenschutzgesetz (DSG), Stand 28.03.2019, (Schriftsatz m

P vom 14.02.2025, S 7). Die Feststellungen zum Zweck der Datenverarbeitung gründen in Paragraph eins, Absatz eins, PNR-G und der Überlegung, dass die Fluggastdatenzentralstelle bzw die mitbeteiligte Partei zur Einhaltung der darin formulierten gesetzlichen Vorgaben zum Verwendungszweck gebunden ist (Artikel 18, B-VG), in Verbindung mit den Angaben der mitbeteiligten Partei in der

Paragraph 43, DSG erteilten öffentlichen Information hinsichtlich der Verarbeitung von Fluggastdaten, in welcher der Wortlaut des in Paragraph eins, Absatz eins, PNR-G genannten Verarbeitungszweckes übernommen worden ist (Information zu der Verarbeitung „von Fluggastdaten (PNR-Daten) in der PNR-Datenbank“

Paragraph 43, Datenschutzgesetz (DSG), Stand 28.03.2019, (Schriftsatz mP vom 14.02.2025, S 7). Dass der Zweck bis zum 21.06.2022 nicht auf solche Straftaten eingeschränkt worden ist, die in einem zumindest mittelbaren objektiven Zusammenhang mit der Beförderung von Fluggästen stehen, gründet darin, dass einerseits der EuGH im Erkenntnis vom 21.06.2022 erstmals ausgesprochen hat, dass die Anwendung des durch die PNR-Richtlinie geschaffenen Systems zur Verarbeitung von Fluggastdaten nur zulässig ist, wenn es auf terroristische Straftaten und auf schwere Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit der Beförderung von Fluggästen beschränkt wird (EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 155 ff). Andererseits hat die mitbeteiligte Partei mitgeteilt, dass die Fluggastdatenzentralstelle erst seit diesem Urteil bei der individuellen Prüfung von Treffern berücksichtigt hat, ob und inwieweit ein Treffer auf terroristische Straftaten und auf schwere Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit der Beförderung von Fluggästen steht (Schriftsatz vom 14.02.2025, OZ 24, S 3). Auch im Einführungserlass über die Einrichtung einer Fluggastdatenzentralstelle („Passenger Information Unit – PIU“) im Bundeskriminalamt, GZ BMI-KP1000/0677-II/BK/2/2018, vom 04.12.2018 finden sich keinerlei Hinweise darauf, dass der in § 1 Abs 1 PNR-G genannte Zweck einschränkend angewendet werde.Andererseits hat die mitbeteiligte Partei mitgeteilt, dass die Fluggastdatenzentralstelle erst seit diesem Urteil bei der individuellen Prüfung von Treffern berücksichtigt hat, ob und inwieweit ein Treffer auf terroristische Straftaten und auf schwere Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit der Beförderung von Fluggästen steht (Schriftsatz vom 14.02.2025, OZ 24, S 3). Auch im Einführungserlass über die Einrichtung einer Fluggastdatenzentralstelle („Passenger Information Unit – PIU“) im Bundeskriminalamt, GZ BMI-KP1000/0677-II/BK/2/2018, vom 04.12.2018 finden sich keinerlei Hinweise darauf, dass der in Paragraph eins, Absatz eins, PNR-G genannte Zweck einschränkend angewendet werde. Daraus ist abzuleiten, dass der Fluggastdatenzentralstelle bis zur Entscheidung des EuGH nicht bewusst gewesen ist, dass der in § 1 Abs 1 PNR-G genannte Zweck, zu dem Fluggastdaten verarbeiten werden dürfen, insoweit zu reduzieren ist, als dass er auf terroristische Straftaten und auf schwere Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit der Beförderung von Fluggästen beschränkt ist und deshalb sämtliche Verarbeitungsvorgänge im Rahmen der Verarbeitung von Fluggastdaten

PNR-G durchgeführt hat, ohne die vom EuGH geforderte Beschränkung des Verarbeitungszweckes zu berücksichtigen.Daraus ist abzuleiten, dass der Fluggastdatenzentralstelle bis zur Entscheidung des EuGH nicht bewusst gewesen ist, dass der in Paragraph eins, Absatz eins, PNR-G genannte Zweck, zu dem Fluggastdaten verarbeiten werden dürfen, insoweit zu reduzieren ist, als dass er auf terroristische Straftaten und auf schwere Kriminalität mit einem – zumindest mittelbaren – objektiven Zusammenhang mit der Beförderung von Fluggästen beschränkt ist und deshalb sämtliche Verarbeitungsvorgänge im Rahmen der Verarbeitung von Fluggastdaten

PNR-G durchgeführt hat, ohne die vom EuGH geforderte Beschränkung des Verarbeitungszweckes zu berücksichtigen. 2.

1. Zur Verarbeitung der Daten (1.2): Die Feststellungen zur Verarbeitung der Daten (1.2) gründen grundsätzlich in den unbestrittenen Ausführungen der mitbeteiligten Partei (Schriftsatz vom 14.02.2025, OZ 24, S 1). Hinsichtlich der Datenbanken, mit denen die Daten der Beschwerdeführerinnen abgeglichen worden sind, gründen sie im Besonderen auf den Angaben, wonach der Abgleich im Jahr 2019 grundsätzlich mit den genannten Datenbanken erfolgt ist (Stellungnahme der mitbeteiligten Partei vom 14.02.2025, OZ 24, S 1) und den damit übereinstimmenden Angaben im Einführungserlass (Einführungserlass über die Einrichtung einer Fluggastdatenzentralstelle vom 04.12.2018, S 5, OZ 24, S 14, Punkt J.1.1.). Zwar waren keine Informationen mehr darüber verfügbar, ob die Daten der Beschwerdeführer:innen tatsächlich mit den genannten Datenbanken abgeglichen worden sind; es bestehen aber keine Anhaltspunkte dafür, dass der Datenbankabgleich hinsichtlich der Beschwerdeführer:innen vom Regelfall abgewichen sein könnte. Die Feststellungen zum Inhalt der Datenbanken PFX gründen in der Information des BMI zu den Datenbanken des BMI, insbesondere auch „PFX“, https://www.bmi.gv.at/magazin/2023_09_10/40_E_Government.aspx, zuletzt abgerufen am 04.04.
2. Die Feststellungen zur den Rechtsgrundlagen zu PFX gründen in der Information des BMI zu den Rechtsgrundlagen diverser im EKIS zusammengefasster Datenbanken, wie die Personenfahndungsdatei, https://www.bmi.gv.at/402/ekis.aspx, zuletzt abgerufen am 04.04.2025, worin das Elektronische Kriminalpolizeiliche Informationssystem (EKIS) beschrieben wird und in dem die Rechtsgrundlage für ua die hier relevante Personenfahndungsdatei genannt wird. Die Feststellungen zu den Treffern, gründen darin, dass in den jeweiligen Auskünften keine bzw ein Treffer beauskunftet worden sind (Anhang zur jeweiligen Datenschutzbeschwerde), in Zusammenschau damit, dass Treffer grundsätzlich beauskunftet worden sind (siehe dazu die, dem Erstbeschwerdeführer erteilte Auskunft, in der ein Eintrag hinsichtlich eines Treffers aufscheint (W258 2224229-1, OZ 1, Anhang zur Datenschutzbeschwerde). Dass hinsichtlich der individuellen Prüfung keine Kriterien für die Sachbearbeiter:innen festgelegt worden sind, gründet darin, dass die mitbeteiligte Partei diesbezüglich auf den Einführungserlass von 2018 verweist (Schriftsatz der mitbeteiligten Partei vom 14.02.2024, OZ 24, S 3), in dem jedoch keine Kriterien für die individuelle Prüfung der im Rahmen des automatisierten Abgleichs mit Datenbanken oder vordefinierten Kriterien erhaltenen Treffer festgelegt oder vorgeschrieben werden (Einführungserlass über die Einrichtung einer Fluggastdatenzentralstelle („Passenger Information Unit – PIU“) im Bundeskriminalamt, GZ BMI-KP1000/0677-II/BK/2/2018, vom 04.12.2018, Schriftsatz der mitbeteiligten Partei vom 14.02.2024, OZ 24, S 10 ff). Dass im Rahmen der individuellen Überprüfung nicht geprüft worden ist, ob etwaige relevante mit Strafe bedrohte Handlungen in einem zumindest mittelbaren Zusammenhang mit dem Flugverkehr stehen, gründet in den Angaben der mitbeteiligten Partei, wonach eine solche Prüfung erst seit dem Urteil des EuGH zu C-817/19 „Ligue des Droits Humains“ geprüft worden ist (Schriftsatz der mitbeteiligten Partei vom 14.02.2024, OZ 24, S 3, Punkt d)), das erst nach der Prüfung, nämlich am 21.06.2022, ergangen ist. Die Feststellungen zur Speicherdauer und der Depersonalisierung gründen in den Ausführungen der mitbeteiligten Partei im Einführungserlass über die Einrichtung einer Fluggastdatenzentralstelle vom 04.12.2018 (Einführungserlass über die Einrichtung einer Fluggastdatenzentralstelle vom 04.12.2018, S 7 f, OZ 24, S 16 f, Punkt J.4.
3. ff). Das Datum des Erhalts gründet auf dem Datum des jeweiligen Fluges (Auskunft der mitbeteiligten Partei an die jeweiligen Beschwerdeführer:innen; Anhang zur jeweiligen Datenschutzbeschwerde) und der Überlegung, dass die Luftfahrtunternehmen verpflichtet sind, Fluggastdaten innerhalb eines Zeitraumes 24 bis 48 Stunden vor der planmäßigen Abflugzeit an die Fluggastdatenzentralstelle zu übermitteln (§ 2 Abs 1 PNR-G), und es keinerlei Anhaltspunkte dafür gibt, dass die Übermittlung erst verspätet erfolgt wäre.Die Feststellungen zur Speicherdauer und der Depersonalisierung gründen in den Ausführungen der mitbeteiligten Partei im Einführungserlass über die Einrichtung einer Fluggastdatenzentralstelle vom 04.12.2018 (Einführungserlass über die Einrichtung einer Fluggastdatenzentralstelle vom 04.12.2018, S 7 f, OZ 24, S 16 f, Punkt J.4.
4. ff). Das Datum des Erhalts gründet auf dem Datum des jeweiligen Fluges (Auskunft der mitbeteiligten Partei an die jeweiligen Beschwerdeführer:innen; Anhang zur jeweiligen Datenschutzbeschwerde) und der Überlegung, dass die Luftfahrtunternehmen verpflichtet sind, Fluggastdaten innerhalb eines Zeitraumes 24 bis 48 Stunden vor der planmäßigen Abflugzeit an die Fluggastdatenzentralstelle zu übermitteln (Paragraph 2, Absatz eins, PNR-G), und es keinerlei Anhaltspunkte dafür gibt, dass die Übermittlung erst verspätet erfolgt wäre. 2.
5. Zu den rechtlichen Grundlagen der Datenbank ASF: Die Feststellungen zum Inhalt und zu den rechtlichen Grundlagen der Datenbank ASF und zu Allgemeinen Erklärung der Menschenrechte (Punkt 1.2 und 1.3) gründen in den jeweils zitierten Quellen. Die Quellen betreffend INTERPOL sind zwar jünger als die gegenständlichen Datenverarbeitungen; sie waren aber dennoch als maßgeblich festzustellen, zumal in den jeweiligen Quellen eine Änderungshistorie enthalten ist und die dort genannten Änderungen, die nach dem Verarbeitungszeitpunkt liegen, die hier relevanten Bestimmungen nicht betroffen haben. 2.
6. Zur Einschätzung der Sicherheitslage für das Jahr 2019: Die Feststellungen zu 1.5, zur Einschätzung der Sicherheitslage für das Jahr 2019, gründen auf den jeweils zitierten Stellen aus dem Verfassungsschutzbericht aus dem Jahr
7. Die Feststellungen zum Anschlag in Paris im Jahr 2015 gründen in der – diesbezüglich unbestrittenen und nachvollziehbaren – Aussage des informierten Vertreters der mitbeteiligten Partei (Verhandlungsprotokoll vom 24.05.2023, S 5 und 6).
8. Rechtlich folgt daraus: Zu den Spruchpunkten A) und B): Die – zulässigen – Beschwerden sind zum Teil berechtigt. Die Beschwerdeführer:innen wehren sich gegen die Verarbeitung sie betreffender Fluggastdaten, sehen sich dadurch in ihrem Recht auf Datenschutz

§ 1

DSG sowie Art 7 und 8 GRC verletzt und begehren eine Verletzung in ihrem Grundrecht auf Datenschutz festzustellen.Die Beschwerdeführer:innen wehren sich gegen die Verarbeitung sie betreffender Fluggastdaten, sehen sich dadurch in ihrem Recht auf Datenschutz

Paragraph eins, DSG sowie Artikel 7 und 8 GRC verletzt und begehren eine Verletzung in ihrem Grundrecht auf Datenschutz festzustellen. 3.

1. Zu den Rechtsgrundlagen: 3.1.
2. Zum Grundrecht auf Datenschutz nach § 1 DSG:3.1.
3. Zum Grundrecht auf Datenschutz nach Paragraph eins, DSG:

§ 1

Abs 1 DSG hat Jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.

Paragraph eins, Absatz eins, DSG hat Jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Soweit hier relevant sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art 8 Abs 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden (§ 1 Abs 2 DSG).Soweit hier relevant sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden (Paragraph eins, Absatz 2, DSG). Für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, wird das Grundrecht auf Datenschutz des § 1 DSG durch das dritte Hauptstück des Datenschutzgesetzes einfachgesetzlich näher ausgestaltet. Die Datenschutzgrundverordnung findet auf derartige Datenverarbeitungen keine Anwendung (Art 2 Abs 2 lit d DSGVO; EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 80).Für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, wird das Grundrecht auf Datenschutz des Paragraph eins, DSG durch das dritte Hauptstück des Datenschutzgesetzes einfachgesetzlich näher ausgestaltet. Die Datenschutzgrundverordnung findet auf derartige Datenverarbeitungen keine Anwendung (Artikel 2, Absatz 2, Litera d, DSGVO; EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 80). Demnach ist

§ 38

DSG eine Datenverarbeitung – unter Einhaltung der Grundsätze der Datenverarbeitung

§ 37

Abs 1 DSG – ua rechtmäßig, soweit sie gesetzlich oder in unmittelbar anwendbaren Rechtsvorschriften, die innerstaatlich den Rang eines Gesetzes haben, vorgesehen und für die Erfüllung einer Aufgabe erforderlich und verhältnismäßig ist, die von der zuständigen Behörde zu den in § 36 Abs 1 leg cit genannten Zwecken – dh zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie zum Zweck der nationalen Sicherheit, des Nachrichtendienstes und der militärischen Eigensicherung – wahrgenommen wird.Demnach ist

Paragraph 38, DSG eine Datenverarbeitung – unter Einhaltung der Grundsätze der Datenverarbeitung

Paragraph 37, Absatz eins, DSG – ua rechtmäßig, soweit sie gesetzlich oder in unmittelbar anwendbaren Rechtsvorschriften, die innerstaatlich den Rang eines Gesetzes haben, vorgesehen und für die Erfüllung einer Aufgabe erforderlich und verhältnismäßig ist, die von der zuständigen Behörde zu den in Paragraph 36, Absatz eins, leg cit genannten Zwecken – dh zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie zum Zweck der nationalen Sicherheit, des Nachrichtendienstes und der militärischen Eigensicherung – wahrgenommen wird. In den Grundsätzen der Datenverarbeitung wird ua festgelegt, dass personenbezogene Daten für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden müssen und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden dürfen (§ 37 Abs 1 Z 2 DSG).In den Grundsätzen der Datenverarbeitung wird ua festgelegt, dass personenbezogene Daten für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden müssen und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden dürfen (Paragraph 37, Absatz eins, Ziffer 2, DSG). 3.1.2. Zum Recht auf Achtung des Privat- und Familienlebens und auf Schutz personenbezogener Daten nach Art 7 und 8 GRC:3.1.2. Zum Recht auf Achtung des Privat- und Familienlebens und auf Schutz personenbezogener Daten nach Artikel 7 und 8 GRC: Hinsichtlich der Eingriffe in die durch die Charta der Grundrechte der Europäischen Union (2000/C 364/01) in Folge „GRC“ eingeräumten Rechte gilt Ähnliches:

Art 7

GRC hat jede Person das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation.

Artikel 7

, GRC hat jede Person das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation.

Art 8

Abs 1 GRC hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten, wobei diese Daten nur nach Treu und Glauben, für festgelegte Zwecke und ua auf einer gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen.

Artikel 8

, Absatz eins, GRC hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten, wobei diese Daten nur nach Treu und Glauben, für festgelegte Zwecke und ua auf einer gesetzlich geregelten legitimen Grundlage verarbeitet werden dürfen.

Art 52

Abs 1 GRC muss jede Einschränkung der Ausübung der in dieser Charta anerkannten Rechte und Freiheiten gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten. Unter Wahrung des Grundsatzes der Verhältnismäßigkeit dürfen Einschränkungen nur vorgenommen werden, wenn sie notwendig sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen.

Artikel 52

, Absatz eins, GRC muss jede Einschränkung der Ausübung der in dieser Charta anerkannten Rechte und Freiheiten gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten. Unter Wahrung des Grundsatzes der Verhältnismäßigkeit dürfen Einschränkungen nur vorgenommen werden, wenn sie notwendig sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen. 3.1.

1. Zu den Eingriffsnormen und dem durch das PNR-G geschaffenen System der Verarbeitung von Passagiergastdaten: Eine Eingriffsnorm, die einen Eingriff in die nach § 1 DSG und Art 7 und 8 GRC gewährten Rechte rechtfertigen kann, findet sich im Bundesgesetz über die Verarbeitung von Fluggastdaten zur Vorbeugung, Verhinderung und Aufklärung von terroristischen und bestimmten anderen Straftaten (PNR-Gesetz – PNR-G), in Folge kurz „PNR-G“. Mit dem PNR-G hat Österreich die Richtlinie (EU) 2016/681 des europäischen Parlaments und des Rates vom
2. April 2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität, in Folge kurz „PNR-RL“, umgesetzt.Eine Eingriffsnorm, die einen Eingriff in die nach Paragraph eins, DSG und Artikel 7 und 8 GRC gewährten Rechte rechtfertigen kann, findet sich im Bundesgesetz über die Verarbeitung von Fluggastdaten zur Vorbeugung, Verhinderung und Aufklärung von terroristischen und bestimmten anderen Straftaten (PNR-Gesetz – PNR-G), in Folge kurz „PNR-G“. Mit dem PNR-G hat Österreich die Richtlinie (EU) 2016/681 des europäischen Parlaments und des Rates vom
3. April 2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität, in Folge kurz „PNR-RL“, umgesetzt. 3.1.3.
4. Erhalt der Fluggastdaten von Luftfahrtunternehmen: Das PNR-G verpflichtet Luftfahrtunternehmen bestimmte, in § 3 Abs 1 PNR-G genannte Datenarten betreffend Fluggäste (in Folge auch „Fluggastdaten“) an die Fluggastdatenzentralstelle zu übermitteln (§ 2 Abs 1 PNR-G), die ermächtigt ist, die Fluggastdaten zu den in § 1 Abs 1 PNR-G genannten Zwecken zu verarbeiten, dh zur Vorbeugung, Verhinderung und Aufklärung von mit gerichtlicher Strafe bedrohten Handlungen

§ 165Abs 3 zweiter Fall, §§ 278b bis 278f und § 282a St

GB, sowie solchen mit gerichtlicher Strafe bedrohten Handlungen, die einer der im Anhang angeführten Kategorien zuzuordnen und mit einer Freiheitsstrafe, deren Obergrenze mindestens drei Jahre beträgt, bedroht sind.Das PNR-G verpflichtet Luftfahrtunternehmen bestimmte, in Paragraph 3, Absatz eins, PNR-G genannte Datenarten betreffend Fluggäste (in Folge auch „Fluggastdaten“) an die Fluggastdatenzentralstelle zu übermitteln (Paragraph 2, Absatz eins, PNR-G), die ermächtigt ist, die Fluggastdaten zu den in Paragraph eins, Absatz eins, PNR-G genannten Zwecken zu verarbeiten, dh zur Vorbeugung, Verhinderung und Aufklärung von mit gerichtlicher Strafe bedrohten Handlungen

Paragraph 165, Absatz 3, zweiter Fall, Paragraphen 278 b bis 278 f und Paragraph 282 a, StGB, sowie solchen mit gerichtlicher Strafe bedrohten Handlungen, die einer der im Anhang angeführten Kategorien zuzuordnen und mit einer Freiheitsstrafe, deren Obergrenze mindestens drei Jahre beträgt, bedroht sind. 3.1.3.2. Abgleich der Fluggastdaten mit Datenbanken und vordefinierten Kriterien: Die Fluggastdatenzentralstelle ist ermächtigt, die Fluggastdaten nach Erhalt von den Luftfahrtunternehmen mit Daten aus Fahndungsevidenzen und sonstigen sicherheitspolizeilichen Datenverarbeitungen, die der Vorbeugung oder Verfolgung von gerichtlich strafbaren Handlungen

§ 1

Abs 1 PNR-G dienen, sowie anhand durch sie festgelegter Kriterien (§ 5 PNR-G) abzugleichen und das Ergebnis dieses Abgleichs gemeinsam mit den Fluggastdaten in einer Datenverarbeitung (PNR-Datenbank) zu verarbeiten (§ 4 Abs 1 PNR-G).Die Fluggastdatenzentralstelle ist ermächtigt, die Fluggastdaten nach Erhalt von den Luftfahrtunternehmen mit Daten aus Fahndungsevidenzen und sonstigen sicherheitspolizeilichen Datenverarbeitungen, die der Vorbeugung oder Verfolgung von gerichtlich strafbaren Handlungen

Paragraph eins, Absatz eins, PNR-G dienen, sowie anhand durch sie festgelegter Kriterien (Paragraph 5, PNR-G) abzugleichen und das Ergebnis dieses Abgleichs gemeinsam mit den Fluggastdaten in einer Datenverarbeitung (PNR-Datenbank) zu verarbeiten (Paragraph 4, Absatz eins, PNR-G). 3.1.3.

1. Individuelle Prüfung etwaiger Treffer: Ergibt der Abgleich einen Treffer, hat ihn die Fluggastdatenzentralstelle individuell durch einen Organwalter zu prüfen (§ 4 Abs 3 PNR-G; ErläutRV 186 BlgNR
2. GP 4; vgl dazu die Ausführungen unter Punkt 3.2.2.2.1).Ergibt der Abgleich einen Treffer, hat ihn die Fluggastdatenzentralstelle individuell durch einen Organwalter zu prüfen (Paragraph 4, Absatz 3, PNR-G; ErläutRV 186 BlgNR
3. Gesetzgebungsperiode 4; vergleiche dazu die Ausführungen unter Punkt 3.2.2.2.1). 3.1.3.
4. Weiterverarbeitung und Übermittlung der Fluggastdaten: Die Fluggastdatenzentralstelle ist über begründetes Ersuchen einer in § 2 Abs 4 genannten Behörde, einer Staatsanwaltschaft oder eines Gerichts sowie von Europol im Wege der nationalen Europol-Stelle (§ 4 Abs 1 BKA-G) ermächtigt, die in der PNR-Datenbank gespeicherten Daten für die Zwecke des § 1 Abs 1 zu verarbeiten (§ 4 Abs 2 PNR-G).Die Fluggastdatenzentralstelle ist über begründetes Ersuchen einer in Paragraph 2, Absatz 4, genannten Behörde, einer Staatsanwaltschaft oder eines Gerichts sowie von Europol im Wege der nationalen Europol-Stelle (Paragraph 4, Absatz eins, BKA-G) ermächtigt, die in der PNR-Datenbank gespeicherten Daten für die Zwecke des Paragraph eins, Absatz eins, zu verarbeiten (Paragraph 4, Absatz 2, PNR-G). Soweit dies für den Zweck des § 1 Abs 1 erforderlich ist, sind Übermittlungen der nach diesem Bundesgesetz verarbeiteten Daten durch die Fluggastdatenzentralstelle auf begründetes Ersuchen an die in § 4 Abs 2 PNR-G genannten Behörden, an Fluggastdatenzentralstellen anderer Mitgliedstaaten der Europäischen Union (Mitgliedstaaten) sowie an Europol im Wege der nationalen Europol-Stelle (§ 4 Abs 1 BKA-G) zulässig („zuständig Behörden“ iSd Art 6 Abs 2 lit b und 7 Abs 1 PNR-RL). Bei Gefahr in Verzug sind Übermittlungen durch die Fluggastdatenzentralstelle auch unmittelbar an die zuständigen Behörden eines Mitgliedstaates zulässig, wenn diese die jeweilige nationale Fluggastdatenzentralstelle über die Anfrage in Kenntnis gesetzt hat.Soweit dies für den Zweck des Paragraph eins, Absatz eins, erforderlich ist, sind Übermittlungen der nach diesem Bundesgesetz verarbeiteten Daten durch die Fluggastdatenzentralstelle auf begründetes Ersuchen an die in Paragraph 4, Absatz 2, PNR-G genannten Behörden, an Fluggastdatenzentralstellen anderer Mitgliedstaaten der Europäischen Union (Mitgliedstaaten) sowie an Europol im Wege der nationalen Europol-Stelle (Paragraph 4, Absatz eins, BKA-G) zulässig („zuständig Behörden“ iSd Artikel 6, Absatz 2, Litera b und 7 Absatz eins, PNR-RL). Bei Gefahr in Verzug sind Übermittlungen durch die Fluggastdatenzentralstelle auch unmittelbar an die zuständigen Behörden eines Mitgliedstaates zulässig, wenn diese die jeweilige nationale Fluggastdatenzentralstelle über die Anfrage in Kenntnis gesetzt hat. 3.1.3.
5. Ausdehnung des durch das PNR-G geschaffenen Systems auf EU-Binnenflüge: Die Übermittlung der Fluggastdaten durch die Luftfahrtunternehmen an die Fluggastdatenzentralstelle ist auf Drittstaatenflüge, dh auf Flüge beschränkt, deren Abflug- oder Zielort außerhalb der Europäischen Union liegen (§ 2 Abs 1 PNR-G). Sie kann mit Verordnung des Bundesministers für Inneres auch auf EU-Binnenflüge erstreckt werden (§ 2 Abs 5 PNR-G).

§ 1

PNR-VO wurde der Anwendungsbereich des § 2 Abs 1 PNR-Gesetz auf EU-Binnenflüge erstreckt. Sie war vom 17.08.2018 bis zum 16.06.2020 in Geltung (PNR-G. BGBl. II Nr. 208/2018, BGBl. II Nr. 45/2019, BGBl. II Nr. 237/2019 und BGBl. II Nr. 28/2020).Die Übermittlung der Fluggastdaten durch die Luftfahrtunternehmen an die Fluggastdatenzentralstelle ist auf Drittstaatenflüge, dh auf Flüge beschränkt, deren Abflug- oder Zielort außerhalb der Europäischen Union liegen (Paragraph 2, Absatz eins, PNR-G). Sie kann mit Verordnung des Bundesministers für Inneres auch auf EU-Binnenflüge erstreckt werden (Paragraph 2, Absatz 5, PNR-G).

Paragraph eins, PNR-VO wurde der Anwendungsbereich des Paragraph 2, Absatz eins, PNR-Gesetz auf EU-Binnenflüge erstreckt. Sie war vom 17.08.2018 bis zum 16.06.2020 in Geltung (PNR-G. Bundesgesetzblatt Teil 2, Nr. 208 aus 2018,, Bundesgesetzblatt Teil 2, Nr. 45 aus 2019,, Bundesgesetzblatt Teil 2, Nr. 237 aus 2019, und Bundesgesetzblatt Teil 2, Nr. 28 aus 2020,). 3.2. Zur Gültigkeit der rechtlichen Grundlagen: Die Beschwerdeführer:innen bezweifeln nicht die Ansicht der belangten Behörde, wonach die Verarbeitung der Fluggastdaten grundsätzlich durch das PNR-G und die PNR-Verordnung gedeckt wäre. Sie wehren sich vielmehr gegen die Gültigkeit dieser nationalen Regelungen und der europarechtlichen Grundlagen. So seien die heranzuziehenden gesetzlichen Bestimmungen verfassungswidrig, sei die heranzuziehende Verordnung des Bundesministers für Inneres gesetzwidrig und seien die EU-rechtlichen Grundlagen nichtig. Überdies setze das PNR-G die PNR-RL nicht richtig um. Im Ergebnis wäre die Datenverarbeitung damit ohne Rechtsgrundlage und rechtswidrig erfolgt. Es ist daher in einem ersten Schritt zu prüfen, ob, inwieweit und in welcher Interpretation die Rechtsgrundlagen, auf denen die Verarbeitung der die Beschwerdeführer:innen betreffenden Fluggastdaten beruhen, gültig sind. In einem zweiten Schritt sind die konkreten Datenverarbeitungen auf die – allenfalls verbleibenden und interpretativ ermittelten – Rechtsgrundlagen anzuwenden. 3.2.1. Zum Verstoß der PNR-RL gegen die Charta der Grundrechte der Europäischen Union (GRC): Die Beschwerdeführerinnen bringen vor, die unionsrechtliche Grundlage für das PNR-G, die Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom 27.04.2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität (die sogenannte PNR-RL) verstoße gegen höherrangiges Unionsrecht, konkret gegen Bestimmungen der Charta der Grundrechte der Europäischen Union (GRC), und erweise sich demnach als nichtig. Dem kann nicht gefolgt werden, zumal sich der EuGH zwischenzeitlich in der Rechtssache C-817/19 mit der von den Beschwerdeführer:innen aufgeworfenen Frage, inwiefern die PNR-RL gegen die GRC verstößt, auseinandergesetzt und mit Urteil vom 21.06.2022 die grundsätzliche Vereinbarkeit der PNR-RL mit der GRC bejaht hat (EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 85 ff, 228). Die Beschwerdeführer:innen haben nach der Entscheidung des EuGH zwar ergänzend vorgebracht, dass sich der EuGH nicht gehörig mit der Frage auseinandergesetzt habe, ob die Übermittlung und Vorabüberprüfung der PNR-Daten auf einen bestimmten Kreis von Flügen beschränkt werden könne, die PNR-RL nicht ausreichend sachlich zwischen Art der erfassten Flüge und der Bedrohungslage in einem bestimmten Land differenziere und die PNR-RL daher ungültig sei. Sie übersehen dabei allerdings, dass der EuGH in C-817/19 einerseits eine uneingeschränkte und vollständige Prüfung dahingehend vorgenommen hat, ob die PNR-RL mit Art 7, 8 und 52 der GRC vereinbar ist, indem er das „durch die PNR-Richtlinie geschaffene System“ einer grundrechtlichen Prüfung unterzogen hat (etwa EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 85, 119, 121 und 125).Sie übersehen dabei allerdings, dass der EuGH in C-817/19 einerseits eine uneingeschränkte und vollständige Prüfung dahingehend vorgenommen hat, ob die PNR-RL mit Artikel 7, 8 und 52 der GRC vereinbar ist, indem er das „durch die PNR-Richtlinie geschaffene System“ einer grundrechtlichen Prüfung unterzogen hat (etwa EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 85, 119, 121 und 125). Andererseits nimmt er die von den Beschwerdeführer:innen geforderte Auseinandersetzung mit einer etwaig gebotenen Einschränkung auf bestimmte Flüge unter Punkt III.B.2.c.4 des Urteils vor. Er unterscheidet darin zwischen Drittstaatsflügen, für die eine Beschränkung auf einen bestimmten Kreis von Fluggästen nicht möglich sei, einerseits (Rn 161

1. f)und EU-Flügen, für die in Ermangelung einer realen und aktuellen oder vorhersehbaren terroristischen Bedrohung des betreffenden Mitgliedstaats die Übermittlung und Verarbeitung der PNR-Daten – etwa auf bestimmte Flugverbindungen oder Flughäfen – beschränkt werden müsse, andererseits (Rn 163 ff, 173 f). Der EuGH begründet die mangelnde Möglichkeit der Einschränkung der Fluggäste von Drittstaatsflügen mit dem – in diesem Fall legitimen – Ziel, unter sämtlichen Fluggästen mittels einer Überprüfung der Fluggastdaten die Personen zu ermitteln, von denen eine Gefahr für die öffentliche Sicherheit ausgehen kann (Rn 161 f). Besteht das Ziel aber darin, sämtliche Fluggäste zu erfassen, sind gerade keine weiteren Einschränkungen möglich und zwar unabhängig davon, ob sie an der Person des Fluggastes oder am Flug anknüpfen. Von dem diesbezüglich angeregten Vorabentscheidungsersuchen konnte daher abgesehen werden (Schriftsatz BF1 bis 5 und 7 vom 22.05.2023, S 15).Andererseits nimmt er die von den Beschwerdeführer:innen geforderte Auseinandersetzung mit einer etwaig gebotenen Einschränkung auf bestimmte Flüge unter Punkt römisch drei.B.2.c.4 des Urteils vor. Er unterscheidet darin zwischen Drittstaatsflügen, für die eine Beschränkung auf einen bestimmten Kreis von Fluggästen nicht möglich sei, einerseits (Rn 161
2. f)und EU-Flügen, für die in Ermangelung einer realen und aktuellen oder vorhersehbaren terroristischen Bedrohung des betreffenden Mitgliedstaats die Übermittlung und Verarbeitung der PNR-Daten – etwa auf bestimmte Flugverbindungen oder Flughäfen – beschränkt werden müsse, andererseits (Rn 163 ff, 173 f). Der EuGH begründet die mangelnde Möglichkeit der Einschränkung der Fluggäste von Drittstaatsflügen mit dem – in diesem Fall legitimen – Ziel, unter sämtlichen Fluggästen mittels einer Überprüfung der Fluggastdaten die Personen zu ermitteln, von denen eine Gefahr für die öffentliche Sicherheit ausgehen kann (Rn 161 f). Besteht das Ziel aber darin, sämtliche Fluggäste zu erfassen, sind gerade keine weiteren Einschränkungen möglich und zwar unabhängig davon, ob sie an der Person des Fluggastes oder am Flug anknüpfen. Von dem diesbezüglich angeregten Vorabentscheidungsersuchen konnte daher abgesehen werden (Schriftsatz BF1 bis 5 und 7 vom 22.05.2023, S 15). 3.2.2. Zum Verstoß des PNR-G gegen die PNR-RL: 3.2.2.1. Zu den Auswirkungen einer etwaigen Europarechtswidrigkeit des PNR-G und der PNR-VO: Die Beschwerdeführer:innen verweisen darauf, dass das PNR-G die Vorgaben des EuGH hinsichtlich der Verarbeitung von Fluggastdaten nicht gehörig umsetze und möchten daraus die Ungültigkeit des PNR-G ableiten. Bevor auf die einzelnen Vorbringen einzugehen ist, ist dazu allgemein Folgendes festzuhalten: Wie bereits ausgeführt hat der österreichische Gesetzgeber mit dem PNR-G die PNR-RL umgesetzt. Richtlinien sind grundsätzlich nicht unmittelbar in den Mitgliedsstaaten anwendbar (Art 288 AEUV). Der Grundsatz der unionsrechtskonformen Auslegung verlangt aber von den nationalen Behörden bzw. Gerichten, unter Berücksichtigung des gesamten innerstaatlichen Rechts und unter Anwendung der dort anerkannten Auslegungsmethoden alles zu tun, was in ihrer Zuständigkeit liegt, um die volle Wirksamkeit des Unionsrechts zu gewährleisten und zu einem Ergebnis zu gelangen, das mit dem vom Unionsrecht verfolgten Ziel im Einklang steht. Eine Auslegung contra legem des nationalen Rechts ist aber unzulässig (VwGH 21.05.2019, Ro 2019/19/0006, Rn 31 f; EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 261).Wie bereits ausgeführt hat der österreichische Gesetzgeber mit dem PNR-G die PNR-RL umgesetzt. Richtlinien sind grundsätzlich nicht unmittelbar in den Mitgliedsstaaten anwendbar (Artikel 288, AEUV). Der Grundsatz der unionsrechtskonformen Auslegung verlangt aber von den nationalen Behörden bzw. Gerichten, unter Berücksichtigung des gesamten innerstaatlichen Rechts und unter Anwendung der dort anerkannten Auslegungsmethoden alles zu tun, was in ihrer Zuständigkeit liegt, um die volle Wirksamkeit des Unionsrechts zu gewährleisten und zu einem Ergebnis zu gelangen, das mit dem vom Unionsrecht verfolgten Ziel im Einklang steht. Eine Auslegung contra legem des nationalen Rechts ist aber unzulässig (VwGH 21.05.2019, Ro 2019/19/0006, Rn 31 f; EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 261). Zwar kann es unter bestimmten Voraussetzungen dazu kommen, dass eine Richtlinie ausnahmsweise unmittelbar in den Mitgliedsstaaten anwendbar ist. Eine unmittelbare Anwendung einer Richtlinie nur zu Lasten eines Einzelnen oder zur Vorenthaltung von Rechten eines Einzelnen ist aber keinesfalls möglich (VwGH 21.05.2019, Ro 2019/19/0006, Rz 30). Das PNR-G ist daher – allenfalls mittels Analogien oder teleologischer Reduktion – im Sinne der PNR-RL zu interpretieren, wobei eine Auslegung contra legem unzulässig wäre. Sollte eine europarechtskonforme Auslegung des PNR-G nicht möglich sein, wäre die PNR-RL nicht unmittelbar anwendbar, zumal mit ihr Einzelnen Rechte vorenthalten werden sollen, indem in die mit § 1 DSG und Art 7 und 8 GRC grundrechtlich gewährten Rechtspositionen eingegriffen wird.Das PNR-G ist daher – allenfalls mittels Analogien oder teleologischer Reduktion – im Sinne der PNR-RL zu interpretieren, wobei eine Auslegung contra legem unzulässig wäre. Sollte eine europarechtskonforme Auslegung des PNR-G nicht möglich sein, wäre die PNR-RL nicht unmittelbar anwendbar, zumal mit ihr Einzelnen Rechte vorenthalten werden sollen, indem in die mit Paragraph eins, DSG und Artikel 7 und 8 GRC grundrechtlich gewährten Rechtspositionen eingegriffen wird. Das hätte grundsätzlich zur Folge, dass das PNR-G trotz einer etwaigen Europarechtswidrigkeit auch dann anwendbar wäre, wenn es einer europarechtskonformen Auslegung nicht zugänglich wäre (vgl neuerlich VwGH 21.05.2019, Ro 2019/19/0006, Rz 44; vgl beispielhaft auch EuGH 04.07.2006, C-212/04, Adeneler ua, EU:C:2006:443 Rn 110 und zum Ganzen Riesenhuber, Europäische Methodenlehre4

§ 4Abs 3 PNR-G automatisiert erzielt worden sind. Das PNR-G sehe entgegen der Rechtsprechung des Eu

GH hinsichtlich der individuellen Überprüfung auch keine klaren und präzisen Regelungen, keine Dokumentationspflicht und keine Informationspflichten gegenüber den Betroffenen vor. Auch stelle das PNR-G entgegen der Rechtsprechung des EuGH nicht sicher, dass Entscheidungen, aus denen sich eine nachteilige Rechtsfolge oder ein sonstiger schwerwiegender Nachteil für die betroffene Person ergibt, unter keinen Umständen allein auf der Grundlage der automatisierten Verarbeitung der PNR-Daten getroffen werden.Die Beschwerdeführer:innen bringen vor, dass das PNR-G entgegen der Anforderung des Artikel 6, Absatz 5, PNR-RL keine individuelle Überprüfung von Treffern normiere, die

Paragraph 4, Absatz 3, PNR-G automatisiert erzielt worden sind. Das PNR-G sehe entgegen der Rechtsprechung des EuGH hinsichtlich der individuellen Überprüfung auch keine klaren und präzisen Regelungen, keine Dokumentationspflicht und keine Informationspflichten gegenüber den Betroffenen vor. Auch stelle das PNR-G entgegen der Rechtsprechung des EuGH nicht sicher, dass Entscheidungen, aus denen sich eine nachteilige Rechtsfolge oder ein sonstiger schwerwiegender Nachteil für die betroffene Person ergibt, unter keinen Umständen allein auf der Grundlage der automatisierten Verarbeitung der PNR-Daten getroffen werden. Dazu ist Folgendes auszuführen: 3.2.2.2.1.1 Zur Verpflichtung der Fluggastdatenzentralstelle, Treffer individuell zu prüfen: Art 6 Abs 5 PNR-RL lautet:Artikel 6, Absatz 5, PNR-RL lautet: „Die Mitgliedstaaten stellen sicher, dass jeder einzelne Treffer bei der automatisierten Verarbeitung von PNR-Daten nach Maßgabe von Absatz 2 Buchstabe a auf andere, nicht-automatisierte Art individuell überprüft wird, um zu klären, ob die zuständige Behörde

Artikel 7

Maßnahmen im Einklang mit dem nationalen Recht ergreifen muss.“ § 4 Abs 3 PNR-G lautet:Paragraph 4, Absatz 3, PNR-G lautet: „Zur Verifizierung eines anhand des Abgleichs (Abs. 1) erfassten Treffers ist die Fluggastdatenzentralstelle ermächtigt, Abfragen in Datenverarbeitungen für Zwecke der Sicherheitsverwaltung, des Asyl- und Fremdenwesens sowie der Strafrechtspflege durchzuführen, das Ergebnis der Verifizierung an die in Abs. 2 genannten Behörden zu übermitteln sowie das Ergebnis der Verifizierung und die veranlassten Maßnahmen und Verwaltungsdaten in einer Datenverarbeitung (Trefferverwaltung) zu verarbeiten.“„Zur Verifizierung eines anhand des Abgleichs (Absatz eins,) erfassten Treffers ist die Fluggastdatenzentralstelle ermächtigt, Abfragen in Datenverarbeitungen für Zwecke der Sicherheitsverwaltung, des Asyl- und Fremdenwesens sowie der Strafrechtspflege durchzuführen, das Ergebnis der Verifizierung an die in Absatz 2, genannten Behörden zu übermitteln sowie das Ergebnis der Verifizierung und die veranlassten Maßnahmen und Verwaltungsdaten in einer Datenverarbeitung (Trefferverwaltung) zu verarbeiten.“ In den Materialien wird dazu ausgeführt: „Abs. 3 legt in Umsetzung von Art. 6 Abs. 5 der PNR-Richtlinie fest, dass Treffer, die aus einem vorzeitigen Abgleich von Fluggastdaten mit Datenbanken und im Vorhinein festgelegten Kriterien resultieren, von der Fluggastdatenzentralstelle individuell – somit nicht programmgesteuert, sondern durch einen bestimmten Organwalter – zu überprüfen sind. Hierdurch wird sichergestellt, dass nur solche Treffer, die von der Fluggastdatenzentralstelle positiv verifiziert wurden, an die zuständigen Behörden zur weiteren Überprüfung übermittelt werden. Zum Schutz der Betroffenen ist die Weiterleitung von rein automatisiert generierten Treffern ohne eine solche Verifizierung ausgeschlossen. In Umsetzung von Art. 6 Abs. 2 lit. a der PNR-Richtlinie kann in diesem Fall aufgrund eines verifizierten Treffers die Übermittlung durch die Fluggastdatenzentralstelle an die in Abs. 2 genannten Behörden aus Eigenem erfolgen. Werden Fluggastdaten von Fluggastdatenzentralstellen anderer Mitgliedstaaten an die Fluggastdatenzentralstelle beim Bundeskriminalamt übermittelt, können diese PNR-Daten

Abs. 1 in der PNR-Datenbank und – im Falle eines Treffers – in Folge nach Abs. 3 in der Trefferverwaltung verarbeitet werden.“ (ErläutRV 186 BlgNR 26. GP 4). „Abs. 3 legt in Umsetzung von Artikel 6, Absatz 5, der PNR-Richtlinie fest, dass Treffer, die aus einem vorzeitigen Abgleich von Fluggastdaten mit Datenbanken und im Vorhinein festgelegten Kriterien resultieren, von der Fluggastdatenzentralstelle individuell – somit nicht programmgesteuert, sondern durch einen bestimmten Organwalter – zu überprüfen sind. Hierdurch wird sichergestellt, dass nur solche Treffer, die von der Fluggastdatenzentralstelle positiv verifiziert wurden, an die zuständigen Behörden zur weiteren Überprüfung übermittelt werden. Zum Schutz der Betroffenen ist die Weiterleitung von rein automatisiert generierten Treffern ohne eine solche Verifizierung ausgeschlossen. In Umsetzung von Artikel 6, Absatz 2, Litera a, der PNR-Richtlinie kann in diesem Fall aufgrund eines verifizierten Treffers die Übermittlung durch die Fluggastdatenzentralstelle an die in Absatz 2, genannten Behörden aus Eigenem erfolgen. Werden Fluggastdaten von Fluggastdatenzentralstellen anderer Mitgliedstaaten an die Fluggastdatenzentralstelle beim Bundeskriminalamt übermittelt, können diese PNR-Daten

Absatz eins, in der PNR-Datenbank und – im Falle eines Treffers – in Folge nach Absatz 3, in der Trefferverwaltung verarbeitet werden.“ (ErläutRV 186 BlgNR 26. Gesetzgebungsperiode 4). Den Beschwerdeführer:innen ist zwar zuzugestehen, dass sich aus dem Wortlaut § 4 Abs 3 PNR-G, in der die Berechtigung der Fluggastdatenzentralstelle, für die Zwecke eines Abgleichs bestimmte Datenverarbeitungen vorzunehmen, normiert wird, nicht zwingend eine Verpflichtung der Fluggastdatenzentralstelle ableiten lässt, eine solche Prüfung durchzuführen. Den Beschwerdeführer:innen ist zwar zuzugestehen, dass sich aus dem Wortlaut Paragraph 4, Absatz 3, PNR-G, in der die Berechtigung der Fluggastdatenzentralstelle, für die Zwecke eines Abgleichs bestimmte Datenverarbeitungen vorzunehmen, normiert wird, nicht zwingend eine Verpflichtung der Fluggastdatenzentralstelle ableiten lässt, eine solche Prüfung durchzuführen. Sie ergibt sich allerdings aus einer richtlinienkonformen Auslegung: So ist einerseits nach Art 6 Abs 5 PNR-RL eine individuelle, nicht automatisierte Überprüfung erforderlich und es wird andererseits in den Materialien ausgeführt, dass Art 6 Abs 5 der PNR-Richtlinie durch § 4 Abs 3 PNR-G umgesetzt werden solle und in § 4 Abs 3 PNR-G festgelegt werde, dass Treffer individuell – somit nicht programmgesteuert, sondern durch einen bestimmten Organwalter – zu überprüfen sind.Sie ergibt sich allerdings aus einer richtlinienkonformen Auslegung: So ist einerseits nach Artikel 6, Absatz 5, PNR-RL eine individuelle, nicht automatisierte Überprüfung erforderlich und es wird andererseits in den Materialien ausgeführt, dass Artikel 6, Absatz 5, der PNR-Richtlinie durch Paragraph 4, Absatz 3, PNR-G umgesetzt werden solle und in Paragraph 4, Absatz 3, PNR-G festgelegt werde, dass Treffer individuell – somit nicht programmgesteuert, sondern durch einen bestimmten Organwalter – zu überprüfen sind. 3.2.2.2.1.2 Zum Erfordernis von klaren und präzisen Regeln für die individuelle Prüfung: Soweit die Beschwerdeführer:innen rügen, dass entgegen den Vorgaben des EuGH das PNR-G keine klaren und präzise Regeln für die individuelle Prüfung vorgeben, ist Folgendes auszuführen: Der EuGH hat ausgesprochen, dass die Mitgliedstaaten klare und präzise Regeln vorsehen müssen, die Leitlinien und einen Rahmen für die von den Bediensteten, die mit der individuellen Überprüfung betraut sind, vorzunehmende Analyse vorgeben, um für die uneingeschränkte Achtung der in den Art 7, 8 und 21 der Charta verankerten Grundrechte zu sorgen und insbesondere eine dem Diskriminierungsverbot Rechnung tragende kohärente Verwaltungspraxis innerhalb der PNR-Zentralstelle zu gewährleisten. Sie haben sich insbesondere zu vergewissern, dass die PNR-Zentralstelle in klarer und präziser Weise Kriterien für die objektive Überprüfung aufstellt (Rn 205 f).Der EuGH hat ausgesprochen, dass die Mitgliedstaaten klare und präzise Regeln vorsehen müssen, die Leitlinien und einen Rahmen für die von den Bediensteten, die mit der individuellen Überprüfung betraut sind, vorzunehmende Analyse vorgeben, um für die uneingeschränkte Achtung der in den Artikel 7, 8 und 21 der Charta verankerten Grundrechte zu sorgen und insbesondere eine dem Diskriminierungsverbot Rechnung tragende kohärente Verwaltungspraxis innerhalb der PNR-Zentralstelle zu gewährleisten. Sie haben sich insbesondere zu vergewissern, dass die PNR-Zentralstelle in klarer und präziser Weise Kriterien für die objektive Überprüfung aufstellt (Rn 205 f). Wie gezeigt worden ist, sieht das PNR-G eine individuelle Überprüfung etwaiger Treffer durch einen Organwalter vor. Es lässt aber offen, welchen Anforderungen eine solche Prüfung genügen muss und auch die Materialien machen dazu keine Angaben. Das ist aber nicht hinreichend, um das durch das PNR-G geschaffene System rechtswidrig zu machen: So schreibt der EuGH nicht vor, in welcher rechtlichen Form die Mitgliedsstaaten diese Vorgaben zu erfüllen haben. Da die nationalen Behörden unter Berücksichtigung des gesamten innerstaatlichen Rechts und unter Anwendung der dort anerkannten Auslegungsmethoden alles zu tun haben, was in ihrer Zuständigkeit liegt, um die volle Wirksamkeit des Unionsrechts zu gewährleisten und zu einem Ergebnis zu gelangen, das mit dem vom Unionsrecht verfolgten Ziel im Einklang steht, wäre den Anforderungen des EuGH daher auch dann Genüge getan, wenn die Anforderungen an die individuelle Prüfung nicht in einem Gesetz sondern in einer anderen rechtlich verbindlichen Weise, etwa durch einen Erlass oder eine Weisung umgesetzt werden. Es könnte sich die Rechtswidrigkeit der Datenverarbeitung allenfalls dann ergeben, wenn tatsächlich keine ausreichenden Regeln hinsichtlich der individuellen Prüfung von Treffern bestehen würden oder nicht sichergestellt würde, dass die Fluggastdatenzentralstelle Kriterien für die objektive Prüfung aufstellt. Das wäre aber gegebenenfalls auf Sachverhaltsebene zu prüfen. 3.2.2.2.1.3 Zur Dokumentation der Verarbeitungsvorgänge im Rahmen der individuellen Prüfung von Treffern: Soweit die Beschwerdeführer:innen rügen, dass das PNR-G die vom EuGH aufgestellten Anforderungen nicht umsetze, die individuelle Prüfung zu dokumentieren, ist Folgendes festzuhalten:

§ 50

Abs 1 DSG ist jeder Verarbeitungsvorgang in geeigneter Weise so zu protokollieren, dass die Zulässigkeit der Verarbeitung nachvollzogen und überprüft werden kann.

Paragraph 50, Absatz eins, DSG ist jeder Verarbeitungsvorgang in geeigneter Weise so zu protokollieren, dass die Zulässigkeit der Verarbeitung nachvollzogen und überprüft werden kann. § 4 Abs 5 PNR-G sieht als speziellere Norm vor, dass § 50 DSG mit der Maßgabe gilt, dass jedenfalls über die Verarbeitungsvorgänge der Erhebung, Abfrage, Offenlegung und Löschung Protokollaufzeichnungen zu führen, fünf Jahre aufzubewahren und danach zu löschen sind.Paragraph 4, Absatz 5, PNR-G sieht als speziellere Norm vor, dass Paragraph 50, DSG mit der Maßgabe gilt, dass jedenfalls über die Verarbeitungsvorgänge der Erhebung, Abfrage, Offenlegung und Löschung Protokollaufzeichnungen zu führen, fünf Jahre aufzubewahren und danach zu löschen sind. In den Materialien wird dazu ausgeführt, dass damit Art 13 Abs 5 und 6 der PNR-Richtlinie umgesetzt werde. Ein Abgehen von den diesbezüglichen Vorgaben der PNR-Richtlinie sei nicht zulässig. Im Einklang mit der PNR-Richtlinie sei daher das Ergebnis einer Abfrage nicht zu protokollieren (ErläutRV 186 BlgNR

1. GP 5).In den Materialien wird dazu ausgeführt, dass damit Artikel 13, Absatz 5 und 6 der PNR-Richtlinie umgesetzt werde. Ein Abgehen von den diesbezüglichen Vorgaben der PNR-Richtlinie sei nicht zulässig. Im Einklang mit der PNR-Richtlinie sei daher das Ergebnis einer Abfrage nicht zu protokollieren (ErläutRV 186 BlgNR
2. Gesetzgebungsperiode 5). Der EuGH führt unter Berufung auf Art 13 Abs 5 PNR-RL aus, dass die Mitgliedstaaten dafür zu sorgen haben, dass die PNR-Zentralstelle jede Verarbeitung von PNR-Daten, die im Rahmen der Vorabüberprüfung, einschließlich der individuellen Überprüfung auf nicht automatisierte Art, vorgenommen wird, zum Zweck der Überprüfung ihrer Rechtmäßigkeit und zur Selbstkontrolle dokumentiert wird (Rn 207). Der EuGH führt unter Berufung auf Artikel 13, Absatz 5, PNR-RL aus, dass die Mitgliedstaaten dafür zu sorgen haben, dass die PNR-Zentralstelle jede Verarbeitung von PNR-Daten, die im Rahmen der Vorabüberprüfung, einschließlich der individuellen Überprüfung auf nicht automatisierte Art, vorgenommen wird, zum Zweck der Überprüfung ihrer Rechtmäßigkeit und zur Selbstkontrolle dokumentiert wird (Rn 207). Eine europarechtliche Interpretation des § 4 Abs 5 PNR-G ergibt vor dem Hintergrund des Art 13 Abs 5 PNR-RL in der vom EuGH klargestellten Bedeutung und dem Willen des Gesetzgebers, mit § 4 Abs 5 PNR-G die Vorgaben des Art 13 Abs 5 PNR-RL umzusetzen, daher, dass die Fluggastdatenzentralstelle jedenfalls auch jede Verarbeitung von PNR-Daten, die im Rahmen der Vorabüberprüfung, einschließlich der individuellen Überprüfung auf nicht automatisierte Art, vorgenommen wird, zum Zweck der Überprüfung ihrer Rechtmäßigkeit und zur Selbstkontrolle zu dokumentieren hat. Eine europarechtliche Interpretation des Paragraph 4, Absatz 5, PNR-G ergibt vor dem Hintergrund des Artikel 13, Absatz 5, PNR-RL in der vom EuGH klargestellten Bedeutung und dem Willen des Gesetzgebers, mit Paragraph 4, Absatz 5, PNR-G die Vorgaben des Artikel 13, Absatz 5, PNR-RL umzusetzen, daher, dass die Fluggastdatenzentralstelle jedenfalls auch jede Verarbeitung von PNR-Daten, die im Rahmen der Vorabüberprüfung, einschließlich der individuellen Überprüfung auf nicht automatisierte Art, vorgenommen wird, zum Zweck der Überprüfung ihrer Rechtmäßigkeit und zur Selbstkontrolle zu dokumentieren hat. Der Wortlaut des Gesetzes steht dem nicht entgegen, zumal die in § 4 Abs 5 PNR-G enthaltene Aufzählung der Verarbeitungsvorgänge, über die Protokollaufzeichnungen zu führen sind, nicht abschließend ist (arg „jedenfalls“). Der Wortlaut des Gesetzes steht dem nicht entgegen, zumal die in Paragraph 4, Absatz 5, PNR-G enthaltene Aufzählung der Verarbeitungsvorgänge, über die Protokollaufzeichnungen zu führen sind, nicht abschließend ist (arg „jedenfalls“). 3.2.2.2.
3. Zu den Pflichten der Empfänger der Fluggastdaten (zuständigen Behörden): Wie unter Punkt 3.1.3.4 ausgeführt, ist die Fluggastdatenzentralstelle unter bestimmten Voraussetzungen berechtigt, Fluggastdaten an die zuständigen Behörden zu übermitteln. Der EuGH erlegt in C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, den zuständigen Behörden als Empfänger der Fluggastdaten bestimmte Pflichten auf. Erstens dürfen Entscheidungen der zuständigen Behörden, aus denen sich eine nachteilige Rechtsfolge oder ein sonstiger schwerwiegender Nachteil für die betroffene Person ergibt, ● unter keinen Umständen allein auf der Grundlage der automatisierten Verarbeitung der PNR-Daten getroffen werden, was bedeutet, dass sie im Rahmen der Vorabüberprüfung dem Ergebnis der individuellen Überprüfung auf nicht automatisierte Art durch die PNR-Zentralstelle Rechnung tragen und ihm gegebenenfalls Vorrang vor dem Ergebnis der automatisierten Verarbeitungen einräumen müssen, oder ● diskriminierend sein (Rn 208). Zweitens müssen sie sich vergewissern, dass die automatisierte Verarbeitung als auch die individuelle Überprüfung rechtmäßig und nicht diskriminierend waren (Rn 209). Drittens müssen sie sich vergewissern, dass der Betroffene die Funktionsweise der im Voraus festgelegten Prüfkriterien und der Programme zu ihrer Anwendung sowie der Kriterien für die individuelle Überprüfung verstehen kann, um es ihm zu ermöglichen, in Kenntnis aller Umstände zu entscheiden, ob er von seinem in Art 13 Abs 1 der PNR-Richtlinie garantierten Recht auf Einlegung von Rechtsbehelfen Gebrauch macht, um gegebenenfalls zu rügen, dass die genannten Kriterien rechtswidrig und namentlich diskriminierend seien. Dabei muss es ihm im Verwaltungsverfahren aber nicht zwangsläufig ermöglicht werden, von den Prüfkriterien und den Programmen zu ihrer Anwendung sowie den Kriterien für die individuelle Überprüfung Kenntnis zu erlangen (Rn 210).Drittens müssen sie sich vergewissern, dass der Betroffene die Funktionsweise der im Voraus festgelegten Prüfkriterien und der Programme zu ihrer Anwendung sowie der Kriterien für die individuelle Überprüfung verstehen kann, um es ihm zu ermöglichen, in Kenntnis aller Umstände zu entscheiden, ob er von seinem in Artikel 13, Absatz eins, der PNR-Richtlinie garantierten Recht auf Einlegung von Rechtsbehelfen Gebrauch macht, um gegebenenfalls zu rügen, dass die genannten Kriterien rechtswidrig und namentlich diskriminierend seien. Dabei muss es ihm im Verwaltungsverfahren aber nicht zwangsläufig ermöglicht werden, von den Prüfkriterien und den Programmen zu ihrer Anwendung sowie den Kriterien für die individuelle Überprüfung Kenntnis zu erlangen (Rn 210). 3.2.2.2.2.1 Zur Pflicht, sich der Rechtmäßigkeit des Abgleichs mit Datenbanken und Kriterien sowie der individuellen Prüfung zu vergewissern: Die Beschwerdeführer:innen rügen unter Verweis auf diese Rechtsprechung, dass das PNR-G nicht vorsehe, dass sich die zuständigen Behörden der Rechtmäßigkeit des Abgleichs mit Datenbanken und Kriterien sowie der individuellen Prüfung zu vergewissern haben. Dem ist entgegen zu halten, dass sich diese Prüfpflicht aus § 37 Abs 1 Z 1 DSG ergibt, wonach personenbezogene Daten auf rechtmäßige Weise zu verarbeiten sind, iVm § 37 Abs 3 DSG, wonach der Verantwortliche, dh die zuständige Behörde als jeweiliger Empfänger der Passagierdaten, für die Einhaltung ua des Abs 1 leg cit verantwortlich ist und dessen Einhaltung nachweisen können muss.Dem ist entgegen zu halten, dass sich diese Prüfpflicht aus Paragraph 37, Absatz eins, Ziffer eins, DSG ergibt, wonach personenbezogene Daten auf rechtmäßige Weise zu verarbeiten sind, in Verbindung mit Paragraph 37, Absatz 3, DSG, wonach der Verantwortliche, dh die zuständige Behörde als jeweiliger Empfänger der Passagierdaten, für die Einhaltung ua des Absatz eins, leg cit verantwortlich ist und dessen Einhaltung nachweisen können muss. Damit korrespondiert die Pflicht der übermittelnden Stelle, dh der Fluggastdatenzentralstelle, bei jeder Übermittlung personenbezogener Daten soweit möglich die zur Beurteilung der Aktualität, Richtigkeit, Vollständigkeit und Zuverlässigkeit der personenbezogenen Daten durch den Empfänger erforderlichen Informationen beizufügen (§ 37 Abs 7 DSG), die durch das PNR-G weiter ergänzt wird (§ 4 Abs 3 PNR-G). Damit korrespondiert die Pflicht der übermittelnden Stelle, dh der Fluggastdatenzentralstelle, bei jeder Übermittlung personenbezogener Daten soweit möglich die zur Beurteilung der Aktualität, Richtigkeit, Vollständigkeit und Zuverlässigkeit der personenbezogenen Daten durch den Empfänger erforderlichen Informationen beizufügen (Paragraph 37, Absatz 7, DSG), die durch das PNR-G weiter ergänzt wird (Paragraph 4, Absatz 3, PNR-G). 3.2.2.2.2.2 Zu den Anforderungen an die Entscheidungsfindung durch die zuständigen Behörden: Wenn die Beschwerdeführer:innen weiters rügen, dass das PNR-G – entgegen der Rechtsprechung des EuGH – nicht vorsehe, dass Entscheidungen unter keinen Umständen allein auf Grundlage der automatisierten Verarbeitung der PNR-Daten getroffen werden dürfen, ist ihnen entgegen zu halten, dass die eben erörterte Prüfpflicht auch beinhaltet, dass die zuständigen Behörden die übermittelten Informationen im pflichtgemäßen Ermessen zu prüfen und vor einer etwaigen Entscheidung mit nachteiligen Folgen für die Betroffenen, belastende und entlastende Elemente zu berücksichtigen haben. Vor diesem Hintergrund und da die Fluggastdatenzentralstelle verpflichtet ist, etwaige Treffer individuell zu verifizieren und das Ergebnis der Verifizierung an die zuständigen Behörden weiterzuleiten (siehe dazu Punkt 3.2.2.2.1.1 und § 4 Abs 3
4. Halbsatz PNR-G), ist sichergestellt, dass die zuständigen Behörden ihre Entscheidung keinesfalls allein auf Grund des automatisierten Abgleichs mit Datenbanken oder vordefinierten Kriterien treffen und sie dem Ergebnis der Verifizierung gegebenenfalls Vorrang vor dem Ergebnis der automatisierten Verarbeitungen einräumen dürfen.Vor diesem Hintergrund und da die Fluggastdatenzentralstelle verpflichtet ist, etwaige Treffer individuell zu verifizieren und das Ergebnis der Verifizierung an die zuständigen Behörden weiterzuleiten (siehe dazu Punkt 3.2.2.2.1.1 und Paragraph 4, Absatz 3,
5. Halbsatz PNR-G), ist sichergestellt, dass die zuständigen Behörden ihre Entscheidung keinesfalls allein auf Grund des automatisierten Abgleichs mit Datenbanken oder vordefinierten Kriterien treffen und sie dem Ergebnis der Verifizierung gegebenenfalls Vorrang vor dem Ergebnis der automatisierten Verarbeitungen einräumen dürfen. 3.2.2.2.2.3 Zur Pflicht sich von der Kenntnis der Betroffenen über die Funktionsweise der Kriterien und Programme zu vergewissern: Die Beschwerdeführer:innen rügen letztlich, dass das PNR-G weder eine Pflicht vorsehe, die Betroffenen von der Datenverarbeitung zu informieren, noch es die zuständigen Behörden verpflichte zu prüfen, ob die Betroffenen entsprechend informiert worden sind. Dem ist entgegen zu halten, dass sich die Informationspflicht aus § 43 Abs 2 Z 4 DSG ergibt, wonach der Verantwortliche der betroffenen Person (neben den in § 43 Abs 1 und 2 genannten Informationen) weitere Informationen zu erteilen hat, soweit das erforderlich ist, um es der betroffenen Person zu ermöglichen, ihre Rechte auszuüben. In Zusammenschau mit der zitierten Rechtsprechung des EuGH ist der jeweilige Verantwortliche für die Datenverarbeitung verpflichtet, die Betroffenen auf geeignete Weise über die Funktionsweise der Kriterien und die Programme für ihre Anwendung zu informieren. Etwaige Einschränkungen der Informationspflicht (vgl § 43 Abs 3 und 4 DSG) müssten insoweit unangewendet bleiben, als sie gegen unmittelbar anwendbares Europarecht, insbesondere Art 7 oder 8 GRC, verstoßen.Dem ist entgegen zu halten, dass sich die Informationspflicht aus Paragraph 43, Absatz 2, Ziffer 4, DSG ergibt, wonach der Verantwortliche der betroffenen Person (neben den in Paragraph 43, Absatz eins und 2 genannten Informationen) weitere Informationen zu erteilen hat, soweit das erforderlich ist, um es der betroffenen Person zu ermöglichen, ihre Rechte auszuüben. In Zusammenschau mit der zitierten Rechtsprechung des EuGH ist der jeweilige Verantwortliche für die Datenverarbeitung verpflichtet, die Betroffenen auf geeignete Weise über die Funktionsweise der Kriterien und die Programme für ihre Anwendung zu informieren. Etwaige Einschränkungen der Informationspflicht vergleiche Paragraph 43, Absatz 3 und 4 DSG) müssten insoweit unangewendet bleiben, als sie gegen unmittelbar anwendbares Europarecht, insbesondere Artikel 7, oder 8 GRC, verstoßen. 3.2.2.2.
6. Zur Begrenzung des PNR-G auf schwere Kriminalität: Die Beschwerdeführer:innen bringen weiters vor, das PNR-G verletze die Vorgaben des EuGH, dafür zu sorgen, dass die Anwendung des durch die PNR-Richtlinie geschaffenen Systems tatsächlich auf die Bekämpfung schwerer Kriminalität beschränkt bleibt und dass dieses System nicht auf strafbare Handlungen erstreckt wird, die zur gewöhnlichen Kriminalität zählen (EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 152), zumal die im Anhang des PNR-G aufgelisteten abstrakten Kategorien gerichtlich strafbarer Handlungen auch solche umfassen, die der gewöhnlichen Kriminalität zuzuordnen sind, obwohl sie mit einer Höchststrafe von mindestens drei Jahren bedroht sind, etwa die Betrugsdelikte der §§ 147, 148, 148a ff StGB.Die Beschwerdeführer:innen bringen weiters vor, das PNR-G verletze die Vorgaben des EuGH, dafür zu sorgen, dass die Anwendung des durch die PNR-Richtlinie geschaffenen Systems tatsächlich auf die Bekämpfung schwerer Kriminalität beschränkt bleibt und dass dieses System nicht auf strafbare Handlungen erstreckt wird, die zur gewöhnlichen Kriminalität zählen (EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 152), zumal die im Anhang des PNR-G aufgelisteten abstrakten Kategorien gerichtlich strafbarer Handlungen auch solche umfassen, die der gewöhnlichen Kriminalität zuzuordnen sind, obwohl sie mit einer Höchststrafe von mindestens drei Jahren bedroht sind, etwa die Betrugsdelikte der Paragraphen 147, 148, 148 a, ff StGB. Dem kann nicht gefolgt werden: Es trifft zwar zu, dass, da sich Art 3 Nr 9 der PNR-Richtlinie nicht auf die jeweilige Mindeststrafe, sondern auf die jeweilige Höchststrafe bezieht, nicht ausgeschlossen ist, dass die PNR-Daten Gegenstand einer Verarbeitung zur Bekämpfung strafbarer Handlungen sein können, die, obwohl sie das in dieser Bestimmung vorgesehene Kriterium in Bezug auf den Schweregrad erfüllen, angesichts der Besonderheiten des nationalen Strafrechtssystems nicht zur schweren Kriminalität gehören, sondern zur gewöhnlichen Kriminalität und es daher Sache der Mitgliedstaaten ist, dafür zu sorgen, dass die Anwendung des durch die PNR-Richtlinie geschaffenen Systems tatsächlich auf die Bekämpfung schwerer Kriminalität beschränkt bleibt und dass dieses System nicht auf strafbare Handlungen erstreckt wird, die zur gewöhnlichen Kriminalität gehören (EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 151 f).Es trifft zwar zu, dass, da sich Artikel 3, Nr 9 der PNR-Richtlinie nicht auf die jeweilige Mindeststrafe, sondern auf die jeweilige Höchststrafe bezieht, nicht ausgeschlossen ist, dass die PNR-Daten Gegenstand einer Verarbeitung zur Bekämpfung strafbarer Handlungen sein können, die, obwohl sie das in dieser Bestimmung vorgesehene Kriterium in Bezug auf den Schweregrad erfüllen, angesichts der Besonderheiten des nationalen Strafrechtssystems nicht zur schweren Kriminalität gehören, sondern zur gewöhnlichen Kriminalität und es daher Sache der Mitgliedstaaten ist, dafür zu sorgen, dass die Anwendung des durch die PNR-Richtlinie geschaffenen Systems tatsächlich auf die Bekämpfung schwerer Kriminalität beschränkt bleibt und dass dieses System nicht auf strafbare Handlungen erstreckt wird, die zur gewöhnlichen Kriminalität gehören (EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 151 f). Was unter den Begriff der „schweren Kriminalität“ zu verstehen ist, ist allerdings nach der nationalen Rechtsordnung zu beurteilen. Europarechtlich unzulässig wäre es lediglich, wenn in der nationale Rechtsordnung Straftaten einbezogen werden, bei denen es sich angesichts der vorherrschenden gesellschaftlichen Bedingungen in dem betreffenden Mitgliedstaat offensichtlich nicht um schwere Straftaten bzw um schwere Kriminalität handelt (EuGH C-178/22, Procura della Repubblica presso il Tribunale di Bolzano, ECLI:EU:C:2024:371, Rn 47, 50). Österreich hat die Anwendung des PNR-G in § 1 Abs 1 auf die Verarbeitung von Fluggastdaten zur Vorbeugung, Verhinderung und Aufklärung von mit gerichtlicher Strafe bedrohten Handlungen

§ 165Abs 3 zweiter Fall, §§ 278b bis 278f und § 282a Strafgesetzbuch – St

GB, BGBl. Nr. 60/1974, sowie solchen mit gerichtlicher Strafe bedrohten Handlungen, die einer der im Anhang angeführten Kategorien zuzuordnen und mit einer Freiheitsstrafe, deren Obergrenze mindestens drei Jahre beträgt, bedroht sind, begrenzt. Damit legt der österreichische Gesetzgeber fest, was er unter schwerer Kriminalität iSd PNR-G versteht.Österreich hat die Anwendung des PNR-G in Paragraph eins, Absatz eins, auf die Verarbeitung von Fluggastdaten zur Vorbeugung, Verhinderung und Aufklärung von mit gerichtlicher Strafe bedrohten Handlungen

Paragraph 165, Absatz 3, zweiter Fall, Paragraphen 278 b bis 278 f und Paragraph 282 a, Strafgesetzbuch – StGB, Bundesgesetzblatt Nr. 60 aus 1974,, sowie solchen mit gerichtlicher Strafe bedrohten Handlungen, die einer der im Anhang angeführten Kategorien zuzuordnen und mit einer Freiheitsstrafe, deren Obergrenze mindestens drei Jahre beträgt, bedroht sind, begrenzt. Damit legt der österreichische Gesetzgeber fest, was er unter schwerer Kriminalität iSd PNR-G versteht. Betrachtet man die davon umfassten strafbaren Handlungen, werden dabei keine einbezogen, die offensichtlich nicht zur schweren Kriminalität gehören: Zwar ist den Beschwerdeführer:innen zuzustimmen, dass manche der gerichtlich strafbaren Handlungen, die unter die im Anhang zum PNR-G aufgezählten Kategorien gerichtlich strafbarer Handlungen subsumiert werden können, offensichtlich nicht der schweren Kriminalität zuzuordnen sind, wie etwa das Grunddelikt des Betrugs (§ 146 StGB). Zwar ist den Beschwerdeführer:innen zuzustimmen, dass manche der gerichtlich strafbaren Handlungen, die unter die im Anhang zum PNR-G aufgezählten Kategorien gerichtlich strafbarer Handlungen subsumiert werden können, offensichtlich nicht der schweren Kriminalität zuzuordnen sind, wie etwa das Grunddelikt des Betrugs (Paragraph 146, StGB). Diese strafbaren Handlungen sind aber mit Freiheitsstrafen bedroht, deren Obergrenze drei Jahre nicht erreicht, weshalb sie vom PNR-System nicht erfasst werden. Die Obergrenze von drei Jahren Freiheitsstrafe wird allenfalls erst bei den Qualifikationen der Grunddelikte erreicht, bei denen weitere, erschwerende, Tatbestandsmerkmale hinzutreten, weshalb es sich bei ihnen nicht offensichtlich um keine schwere Straftaten bzw nicht offensichtlich nicht um schwere Kriminalität handelt. Das ist etwa bei dem von den Beschwerdeführer:innen herangezogenen Betrug der Fall, bei dem die Obergrenze von drei Jahren erst beim schweren Betrug (§ 147 StGB) erreicht wird, ein Betrug, der etwa unter Verwendung falscher oder gefälschter Urkunden oder mit einem EUR 5.000 übersteigenden Schaden begangen wird. Die Qualifikation des schweren Betrugs mag an der unteren Grenze der schweren Kriminalität liegen, dass es sich dabei offensichtlich um keine schwere Kriminalität handelt, kann aber nicht behauptet werden.Die Obergrenze von drei Jahren Freiheitsstrafe wird allenfalls erst bei den Qualifikationen der Grunddelikte erreicht, bei denen weitere, erschwerende, Tatbestandsmerkmale hinzutreten, weshalb es sich bei ihnen nicht offensichtlich um keine schwere Straftaten bzw nicht offensichtlich nicht um schwere Kriminalität handelt. Das ist etwa bei dem von den Beschwerdeführer:innen herangezogenen Betrug der Fall, bei dem die Obergrenze von drei Jahren erst beim schweren Betrug (Paragraph 147, StGB) erreicht wird, ein Betrug, der etwa unter Verwendung falscher oder gefälschter Urkunden oder mit einem EUR 5.000 übersteigenden Schaden begangen wird. Die Qualifikation des schweren Betrugs mag an der unteren Grenze der schweren Kriminalität liegen, dass es sich dabei offensichtlich um keine schwere Kriminalität handelt, kann aber nicht behauptet werden. Das durch das PNR-G geschaffene System ist daher im Sinne der PNR-RL auf die Bekämpfung schwerer Kriminalität beschränkt. 3.2.2.2.4. Zur Bestimmtheit der vom PNR-G erfassten Straftaten: Die Beschwerdeführer:innen argumentieren unter Verweis auf die GRC und die – das erkennende Gericht nicht bindende – Entscheidung des Verwaltungsgericht Wiesbaden vom 06.12.2022, 6 K 805/19.WI (Stellungnahme BF1 bis 5 und 7 vom 22.05.2023, OZ 15, Beilage ./1), weiter, dass im Anhang zum PNR-G keine konkreten sondern lediglich Kategorien von Straftaten aufgezählt werden. Dadurch sei der Anwendungsbereich des durch das PNR-G geschaffenen Systems zu unbestimmt. Dazu ist Folgendes festzuhalten: 3.2.2.2.4.1 Zum Bestimmtheitsgrundsatz nach der GRC und der Rechtsprechung des EuGH: Nach Art 52 Abs 1 Satz 1 GRC muss jede Einschränkung der Ausübung der in der Charta anerkannten Rechte und Freiheiten gesetzlich vorgesehen sein (vgl auch Rumler-Korinek/Vranes in Holoubek/Lienbacher, GRC Kommentar Art 52 Rz 10 ff). Das bedeutet, dass der Rechtsakt, der den Eingriff in die Grundrechte ermöglicht, den Umfang der Einschränkung der Ausübung des betreffenden Rechts selbst festlegen muss. Dieses Erfordernis schließt zum einen aber nicht aus, dass die fragliche Einschränkung hinreichend offen formuliert ist, um Anpassungen an verschiedene Fallgruppen und an Änderungen der Lage zu erlauben (EuGHC-401/19, Polen/Parlament und Rat, ECLI:EU:C:2022:297, Rn 64 und 74 mwN). Zum anderen kann der Gerichtshof gegebenenfalls die konkrete Tragweite der Einschränkung im Wege der Auslegung präzisieren, und zwar anhand sowohl des Wortlauts als auch der Systematik und der Ziele der fraglichen Unionsregelung, wie sie im Licht der durch die Charta garantierten Grundrechte auszulegen sind (EuGH C-817/19, Ligue des droits Humains, ECLI:EU:C:2022:491, Rn 114).Nach Artikel 52, Absatz eins, Satz 1 GRC muss jede E