Amtsgericht Köln, Abteilung 142 — 142 C 330/19

I.

Gegenstand des Rechtsstreites ist eine Klage der Klägerin gegenüber der beklagten Fluggesellschaft auf Unterlassung der Übermittlung ihrer PNR Daten nach Massgabe des Fluggastdatengesetz (im Folgenden: FlugDaG) an die Bundesrepublik Deutschland anlässlich eines zunächst für den 18.03.2020 gebuchten Fluges von Hamburg über Frankfurt nach Istanbul mit Rückflug am 24.03.2020.

Am 10.06.2017 trat in Deutschland das Gesetz über die Verarbeitung von Fluggastdaten zur Umsetzung der Richtlinie EU 2016/681 - FlugdaG - in Kraft. Die EU Richtlinie 2016/681 (im Folgenden: PNR - Richtlinie) vom 04.05.2016 betrifft die Verwendung von Fluggastdatensätzen (sog. PNR - Daten: Passenger Name Record) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität. Diese Richtlinie regelt die Übermittlung der PNR Daten von Fluggästen bei Flügen von Mitgliedstaaten der Europäischen Union in Drittstaaten und von Drittstaaten in Mitgliedstaaten und die Verarbeitung der Daten. Art. 2 beinhaltet eine Öffnungsklausel für die nationalen Gesetzgeber, wonach auch Flüge innerhalb der EU erfasst werden können. Die Richtlinie verpflichtet die Mitgliedstaaten in Art. 4 zur Einrichtung von PNR Zentralstellen, die für die Erhebung der PNR Daten bei den Fluggesellschaften, deren Speicherung, Verarbeitung und Übermittlung an die zuständigen Behörden sowie für den Austausch der PNR Daten sowie der Ergebnisse der Verarbeitung zuständig sind. Weiter müssen die Mitgliedstaaten nach Art. 8 der Richtlinie alle Fluggesellschaften verpflichten einen im Anhang I der Richtlinie definierten PNR Datensatz mittels der Push Methode an die PNR Zenttalstellen zu übermitteln, in deren Hoheitsgebiet die betreffenden Flüge ankommen oder von dem sie abgehen. Nach Art. 9 und 11 der Richtlinie ist weiter die Anforderung und Übermittlung der PNR Daten zwischen den PNR Zentralstellen möglich und unter bestimmten Voraussetzungen auch die Übermittlung der PNR Daten an Drittstaaten. Nach Art. 12 ist eine Speicherung der Daten für 5 Jahre vorgesehen und eine Depersonalisierung im Sinne der Unkenntlichmachung bestimmter Datenelemente, mit denen die Identität des Fluggastes festgestellt werden könnte, nach 6 Monaten. Zuletzt regelt Art. 6 der Richtlinie die Verarbeitung der PNR Daten durch die Zentralstellen, wobei ein automatisierter Abgleich der Daten mit Datenbanken und sog. Mustern ermöglicht wird. Das FlugDaG setzt die Bestimmungen in nationales Recht um. Als PNR Zentralstelle ist das Bundeskriminalamt festgelegt worden, wobei das Bundesverwaltungsamt als Auftragsverarbeiter der Zentralstelle fungiert. Die Beklagte ist nach dem Gesetz zur Übermittlung aller PNR Daten von Fluggästen ziviler Flüge verpflichtet, die in Deutschland starten und in einem anderen Land landen oder von einem anderen Land kommend in Deutschland landen.

Die Klägerin forderte die Beklagte dazu, ihre Daten betreffend der gebuchten Flüge nach Istanbul und retour nicht an das Bundeskriminalamt zu übermitteln. Dieser Aufforderung kam die Beklagte bislang nicht nach.

Sie ist der Ansicht, dass die Regelungen des FlugDaG gegen Unionsrecht verstossen und die Übermittlung der Daten zudem ihr allgemeines Persönlichkeitsrecht in der Gestalt des informationellen Selbstbestimmungsrechts verletzt. Im vorliegenden Rechtsstreit nimmt die Klägerin die Beklagte auf Unterlassung in Anspruch.

Die Beklagte ist der Ansicht, die Unterlassungsklage sei unstatthaft und es fehle der Klägerin das Rechtschutzbedürfnis. Zudem sei Prüfungsmaßstab alleine die Übermittlung der Daten durch sie.

Die Bundesrepublik Deutschland, vertreten durch das Bundeskriminalamt, ist dem Rechtsstreit auf Seiten der Beklagten beigetreten.

II.

Die Entscheidung des Rechtsstreites hängt davon ab, ob die Verpflichtung der Beklagten nach dem FlugDaG zur Übermittlung der PNR Daten der Klägerin an die Streithelferin der Beklagten - der Bundesrepublik Deutschland - rechtmässig ist; denn nach Ansicht des Gerichtes ergibt sich eine Verpflichtung der Beklagten aus dem zwischen den Parteien geschlossenen Flugbeförderungsvertrag jedenfalls aber aus §§ 1004 Abs. 1 Satz 2 BGB analog, 823 BGB die Weitergabe von persönlichen Daten ohne ausreichende gesetzliche Grundlage zu unterlassen, da dies eine Verletzung des Rechtes der Klägerin in ihrem allgemeinen Persönlichkeitsrecht in Gestalt des informationellen Selbstbestimmungsrechtes darstellen würde. Hingegen hätte die Klägerin diese Weitergabe zu dulden, wenn das FlugDaG eine ausreichende gesetzliche Grundlage darstellen würde. Dies setzt aber voraus, dass die Grundlage dieses Gesetzes, die Richtlinie EU 2016/681 im Einklang mit Unionsrecht insbesondere der Grundrechte Charta und dort insbesondere Art. 7, 8 GRCh steht. Verstösst die Richtlinie gegen Unionsrecht, erwiest sich auch die Umsetzung in nationales Recht durch die FlugDaG als rechtswidrig und kann dieses Gesetz im Verhältnis zwischen den Parteien die Übermittlung der PNR Daten der Klägerin durch die Beklagte an die Streithelferin nicht rechtfertigen.

III.

An der Vereinbarkeit der PNR Richtlinie mit Art. 7, 8 GRCh bestehen Zweifel:

Art. 7 GRCh schützt das Privatleben. Art. 8 GRCh die personenbezogenen Daten einer Person. Geschützt sind die personenbezogenen Daten mit Bezug zum Privatleben. Die PNR Richtlinie erfasst solche Daten. Es ist die Sammlung, Speicherung und Verarbeitung von persönlichen Daten in einem PNR Datensatz vorgesehen. Art. 7, 8 GRCh werden damit durch die Richtlinie berührt.

Art. 8 Abs. 2 GRCh ermöglicht die Verarbeitung personenbezogener Daten für festgelegte Zwecke und mit Einwilligung der betroffenen Person sowie dann wenn eine sonstige legitime gesetzliche Grundlage besteht. Ein dem Gemeinwohl dienendes Ziel ist die Gewährleistung der öffentlichen Sicherheit. Dieses Ziel rechtfertigt tiefe Eingriffe in den Schutzbereich von Art. 7, 8 GRCh. Solche Ziele werden mit der PNR Richtlinie verfolgt. Sie dienen der Verhütung, Aufdeckung, Ermittlung und Verfolgung terroristischer Straftaten und schwerer Kriminalität. Die diesen Zielen dienenden Eingriffe müssen aber verhältnismäßig sein. Einschränkungen des Schutzes personenbezogener müssen sich auf das absolut Notwendige beschränken. Dazu ist erforderlich, dass die Richtlinie klare und präzise Regeln für die Tragweite und die Anwendung der in ihre geregelten Maßnahmen enthält.

Hieraus resultieren die fünf Fragestellungen:

1.

Ausgehend von den dargestellten Anforderungen an die PNR Richtlinie müssen die zu erhebenden und zu übermittelnden PNR Daten klar und präzise definiert sein, ansonsten fehlt es an der ausreichenden Bestimmtheit. Nach Nr. 8 und Nr. 12 des Anhanges I der PNR Richtlinie gehören zu den relevanten Daten u.a. ein Vielflieger Eintrag sowie Allgemeine Hinweise. Was unter Vielflieger Eintrag gemeint ist, erscheint unklar. Dies kann lediglich die Mitteilung über die Teilnahme an Bonusprogrammen für Vielflieger umfassen oder aber konkrete Informationen über Flüge und Buchungen der an einem solchen Programm teilnehmenden Person. Bei den Allgemeinen Hinweisen ist ein freies Textfeld auszufüllen. Aus der Richtlinie geht nicht hervor, was genau hier eingetragen werden kann bzw. soll. Art und Umfang der an dieser Stelle erfassbaren Informationen sind nicht abschliessend definiert, eine Begrenzung nicht vorgesehen. Damit stellt sich die unter 1. formulierte Frage, ob die Richtlinie in Hinblick auf die zu übermittelnden PNR Daten unter Berücksichtigung von Art. 7, 8 GRCh hinreichend bestimmt ist.

2.

Weiter muss die Richtlinie nach den dargestellten Anforderungen in ihrem Anwendungsbereich verhältnismässig sein. Die Richtlinie differenziert nicht zwischen der Art von Flügen betreffend derer PNR Daten zu übermitteln sind. Erfasst werden alle internationalen Flüge, unabhängig vom Herkunfts- oder Zielland oder einer konkreten oder erhöhten Bedrohungslage in einem Land. Dieser Anwendungsbereich ist über die Öffnungsklausel auch auf den Bereich innerhalb der EU ausdehnbar. Auch in Hinblick auf die Daten werden keine Unterschiede in Bezug auf die mit der Richtlinie verfolgten Ziele - Bekämpfung Terrorismus und schwere Straftaten - etwa in Hinblick auf Gefährlichkeit oder Verdächtigkeit der erfassten Personen gemacht. Es bestehen Zweifel, ob diese noch dem Gebot gerecht wird, dass die Speicherung von Daten objektiven Kriterien genügen muss, die den Zusammenhang zwischen den gespeicherten personenbezogenen Daten und den verfolgten Zielen klärt.

Diese Frage nach der Verhältnismässigkeit setzt sich in der Anschlussfrage fort, inwieweit ausreichende verfahrensrechtliche bzw. materiell-rechtliche Regelungen für die weitere Verwendung der PNR Daten vorliegen. Nach Art. 6 Abs. 3 der Richtlinie ist ein anlassloser Abgleich der übermittelten PNR Daten mit bestehenden Datenbanken und Mustern vorgesehen. Unter welchen rechtlichen Voraussetzungen dieser Abgleich durchzuführen ist, wird nicht näher geregelt. Im Rahmen der Verhältnismässigkeit ist hierbei auch die Zweck-Mittel Relation zu beachten. Der Zweck ist in Anhang II der Richtlinie näher geklärt. Indes ist die Datenverarbeitung für alle genannten Zwecke gleichermaßen vorgesehen ohne dass danach differenziert inwieweit der Datenabgleich tatsächlich zur Aufdeckung oder Verhütung der einzelnen gelisteten Straftaten tatsächlich beiträgt.

Damit stellt sich die unter 2. formulierte Frage, ob die Richtlinie in Hinblick auf ihren Anwendungsbereich unter Berücksichtigung von Art. 7, 8 GRCh eine ausreichende sachliche Differenzierung bei der Erfassung und Übermittlung der PNR Daten in Hinblick auf die Art der Flüge und die Bedrohungslage in einem bestimmten Land sowie in Hinblick auf den Abgleich mit Datenbanken und Mustern aufweist.

3.

Nach dem oben Gesagten muss sich der Eingriff auf das absolut Notwendige beschränken. Gemäss Art. 12 PNR Richtlinie werden die PNR Daten ab ihrer Übermittlung 5 Jahre lang gespeichert, wobei nach sechs Monaten eine Depersonalisierung der Daten stattfindet, die unter weiteren Voraussetzungen rückgängig gemacht werden kann. Eine Differenzierung in Hinblick auf konkrete eine Person betreffende Anhaltspunkte danach, ob von ihr eine Gefahr ausgeht oder nicht, erfolgt nicht. Insbesondere erfolgt auch eine Speicherung der PNR Daten von unverdächtigen bereits ausgereisten Personen ohne dass hier ein Zusammenhang zu den mit der Richtlinie verfolgten Zielen erkennbar wäre. Es stellt sich daher die Frage, ob die Speicherungsdauer auf das absolut Notwendige beschränkt ist. Hieraus folgt die unter 3. formulierte Frage ob die pauschale, unterschiedslose Dauer der Speicherung aller PNR Daten mit Art. 7, 8 GRCh vereinbar ist.

4.

Der Eingriff in den Schutzbereich der personenbezogenen Daten muss nicht nur gerechtfertigt sein, sondern seine Rechtmässigkeit auch rechtlich überprüfbar sein. Es stellt sich die Frage, ob und wenn ja inwieweit die Richtlinie selbst einen solchen verfahrensrechtlichen Schutz durch unabhängige Kontrollstellen vorsieht. Die Richtlinie sieht in Art. 12 Abs. 3 vor, dass zur Aufhebung der Depersonalisierung eine Genehmigung der Justizbehörde oder einer anderen nationalen Behörde erforderlich ist. Die verfahrensrechtliche Absicherung des Eingriffes könnte im Lichte von Art. 7, 8 GRCh aber einen weitergehende, auch vor der Übermittlung, Speicherung und Verwendung der Daten liegende Überprüfung durch Verwaltungsstellen oder Gerichte erfordern. Hieraus resultiert die unter 4. formulierte Frage, ob die Richtlinie unter Berücksichtigung von Art. 7, 8 GRCh einen ausreichenden verfahrensrechtlichen Schutz der Fluggäste in Hinblick auf die Verwendung der gespeicherten PNR Daten vorsieht.

5.

Das Gebot der Beschränkung des Schutzes von personenbezogenen Daten auf das absolut Notwendige betrifft schliesslich das Verhältnis zu Drittstaaten, an die PNR Daten weitergegeben werden. Um die Einhaltung des innerhalb der EU geltenden Schutzniveaus auch bei solchen Weitergaben zu gewährleisten könnten Vorkehrungen notwendig sein, die die Einhaltung sicherstellen. Derartige Vorkehrungen sind in der dem einschlägigen Art. 11 der Richtlinie nicht vorgesehen. Hieraus resultiert die fünfte und letzte Frage, ob durch die Richtlinie unter Berücksichtigung von Art. 7, 8 GRCh das Schutzniveau der europäischen Grundrechte bei der Weitergabe der PNR Daten an Behörden von Drittstaaten durch die Drittländer ausreichend gewahrt wird.