Art. 4 32025R0013

Erhebung von API-Daten durch Fluggesellschaften

VERORDNUNG (EU) 2025/13 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 19. Dezember 2024 über die Erhebung und Übermittlung vorab übermittelter Fluggastdaten zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität und zur Änderung der Verordnung (EU) 2019/818 · KAPITEL 2

(1)

Die Fluggesellschaften erheben bei den in Artikel 2 genannten Flügen für jeden Fluggast und jedes Besatzungsmitglied API-Daten, die gemäß Artikel 5 an den Router zu übermitteln sind. Bei Flügen mit Code-Sharing zwischen Fluggesellschaften obliegt die Pflicht zur Übermittlung der API-Daten der Fluggesellschaft, die den Flug durchführt.

(2)

Die API-Daten umfassen für jeden Fluggast und jedes Besatzungsmitglied auf dem Flug ausschließlich die folgenden Daten:

Nachname (Familienname), Vorname(n);

Geburtsdatum, Geschlecht und Staatsangehörigkeit;

Art und Nummer des Reisedokuments sowie dessen aus drei Buchstaben bestehender Code des ausstellenden Staates;

Datum des Ablaufs der Gültigkeitsdauer des Reisedokuments;

Nummer zur Identifizierung eines Fluggastdatensatzes, die von einer Fluggesellschaft verwendet wird, um einen Fluggast in ihrem Informationssystem ausfindig zu machen (PNR-Buchungscode);

Sitzplatzangaben zu dem Sitzplatz, der einem Fluggast in einem Luftfahrzeug zugewiesen wurde, sofern solche Informationen verfügbar sind;

Gepäckanhängernummer(n) sowie Anzahl und Gewicht der aufgegebenen Gepäckstücke, sofern solche Informationen verfügbar sind;

Code zur Angabe der Methode zur Erfassung und Validierung der unter den Buchstaben a bis d genannten Daten.

(3)

Die API-Daten umfassen zudem ausschließlich die folgenden Fluginformationen für den Flug jedes Fluggastes und Besatzungsmitglieds:

Flugnummer oder, wenn der Flug im Rahmen des Code-Sharings zwischen Fluggesellschaften durchgeführt wird, die Flugnummern, oder, falls keine solche Nummer existiert, ein anderes eindeutiges und geeignetes Mittel zur Identifizierung des Fluges;

gegebenenfalls die Grenzübergangsstelle für die Einreise in das Hoheitsgebiet des Mitgliedstaats;

Code des Ankunftsflughafens oder, wenn der Flug auf einem oder mehreren Flughäfen im Hoheitsgebiet eines oder mehrerer Mitgliedstaaten, auf die diese Verordnung anwendbar ist, landen soll, die Codes der im Hoheitsgebiet der betreffenden Mitgliedstaaten anzufliegenden Flughäfen;

Code des Abflugflughafens;

Code des Flughafens des ursprünglichen Abflugorts, sofern verfügbar;

Datum und Uhrzeit (lokal) des Abflugs;

Datum und Uhrzeit (lokal) der Ankunft;

Kontaktdaten der Fluggesellschaft;

das für die Übermittlung der API-Daten verwendete Format.

(4)

Bei der Erhebung der API-Daten stellen die Fluggesellschaften sicher, dass die API-Daten, die sie gemäß Artikel 5 übermitteln, korrekt, vollständig und aktuell sind. Die Einhaltung dieser Verpflichtung verpflichtet die Fluggesellschaften nicht dazu, das Reisedokument zum Zeitpunkt des Einsteigens in das Flugzeug zu überprüfen, unbeschadet nationaler Rechtsvorschriften, die mit dem Unionsrecht vereinbar sind.

(5)

Unbeschadet anderer Rechtsakte der Union oder nationaler Rechtsvorschriften, die mit dem Unionsrecht vereinbar sind, werden Fluggäste durch diese Verordnung nicht verpflichtet, bei der Reise ein Reisedokument mit sich zu führen.

(6)

Ein Mitgliedstaat kann Fluggesellschaften verpflichten, Fluggästen die Möglichkeit einzuräumen, die in Artikel 4 Absatz 2 Buchstaben a bis d der Verordnung (EU) 2025/12 genannten Daten freiwillig und mithilfe automatisierter Verfahren hochzuladen und diese Daten zwecks Übermittlung der Daten für künftige Flüge durch die Fluggesellschaft gemäß Artikel 5 der vorliegenden Verordnung und im Einklang mit den in den Absätzen 4, 7 und 8 dieses Artikels genannten Anforderungen speichern zu lassen. Ein Mitgliedstaat, der eine solche Verpflichtung auferlegt, legt die Datenschutzvorschriften und -garantien im Einklang mit der Verordnung (EU) 2016/679 fest, einschließlich Vorschriften über den Speicherzeitraum. Die Daten werden jedoch gelöscht, wenn der Fluggast der Speicherung der Daten nicht mehr zustimmt, spätestens jedoch am Tag des Ablaufs der Gültigkeitsdauer des Reisedokuments.

(7)

Die Fluggesellschaften erheben die in Absatz 2 Buchstaben a bis d genannten API-Daten mithilfe automatisierter Verfahren, um die maschinenlesbaren Daten des Reisedokuments des betreffenden Fluggastes zu erfassen. Dabei berücksichtigen sie die in Absatz 12 genannten detaillierten technischen Anforderungen und operativen Vorschriften, sobald solche Vorschriften erlassen wurden und anwendbar sind. Bieten Fluggesellschaften einen Online-Check-in-Prozess an, ermöglichen sie den Fluggästen, die in Absatz 2 Buchstaben a bis d genannten API-Daten im Zuge dieses Online-Check-in mithilfe automatisierter Verfahren bereitzustellen. Fluggäste, die keinen Online-Check-in durchlaufen, erhalten von den Fluggesellschaften die Möglichkeit, diese API-Daten während des Check-in am Flughafen mithilfe automatisierter Verfahren mit der Unterstützung eines Self-Service-Kiosks oder des Personals am Schalter der Fluggesellschaft zur Verfügung zu stellen. Ist der Einsatz automatisierter Verfahren technisch nicht möglich, erheben die Fluggesellschaften die in Absatz 2 Buchstaben a bis d genannten API-Daten ausnahmsweise manuell, entweder beim Online-Check-in oder beim Check-in am Flughafen und stellen dabei die Einhaltung von Absatz 4 sicher.

(8)

Alle automatisierten Verfahren, mit denen die Fluggesellschaften API-Daten gemäß dieser Verordnung erheben, müssen zuverlässig, sicher und auf dem neuesten Stand sein. Die Fluggesellschaften sorgen dafür, dass die Übermittlung der API-Daten vom Fluggast an die Fluggesellschaften in verschlüsselter Form erfolgt.

(9)

Zusätzlich zu den in Absatz 7 genannten automatisierten Verfahren müssen die Fluggesellschaften es den Fluggästen während eines Übergangszeitraums ermöglichen, API-Daten im Rahmen des Online-Check-in manuell bereitzustellen. In solchen Fällen müssen die Fluggesellschaften Techniken zur Verifizierung der Daten einsetzen, um die Einhaltung von Absatz 4 sicherzustellen.

(10)

Der in Absatz 9 genannte Übergangszeitraum berührt nicht das Recht der Fluggesellschaften, die im Rahmen des Online-Check-in erhobenen API-Daten am Flughafen vor dem Einsteigen in das Luftfahrzeug zu überprüfen, um die Einhaltung von Absatz 4 im Einklang mit dem geltenden Unionsrecht sicherzustellen.

(11)

Der Kommission wird die Befugnis übertragen, ab dem Tag vier Jahre nach Inbetriebnahme des Routers in Bezug auf die in Artikel 34 genannten API-Daten und auf der Grundlage einer Bewertung der Verfügbarkeit und Zugänglichkeit automatisierter Verfahren zur Erhebung von API-Daten einen delegierten Rechtsakt gemäß Artikel 43 zu erlassen, um den in Absatz 9 dieses Artikels genannten Übergangszeitraum zu beenden.

(12)

Der Kommission wird die Befugnis übertragen, gemäß Artikel 43 delegierte Rechtsakte zur Ergänzung dieser Verordnung zu erlassen, in denen sie detaillierte technische Anforderungen und operative Vorschriften für die Erhebung der in Absatz 2 Buchstaben a bis d des vorliegenden Artikels genannten API-Daten mithilfe automatisierter Verfahren gemäß den Absätzen 7 und 8 des vorliegenden Artikels und für die manuelle Erhebung von API-Daten unter außergewöhnlichen Umständen gemäß Absatz 7 des vorliegenden Artikels und während des in Absatz 9 des vorliegenden Artikels genannten Übergangszeitraums festlegt. Diese technischen Anforderungen und operativen Vorschriften umfassen Anforderungen an die Datensicherheit und die Verwendung der zuverlässigsten automatisierten Verfahren, die zur Erhebung der maschinenlesbaren Daten eines Reisedokuments zur Verfügung stehen.